Vad är ett API?

API betyder Application Programming Interface

API står för Application Programming Interface.

Det låter betydligt krångligare än vad grundidén egentligen är.

Ett API är ett dokumenterat gränssnitt som gör det möjligt för ett program att kommunicera med ett annat program eller använda funktioner i ett annat system.

Man kan tänka på det som en överenskommen väg mellan två system:

”Om du frågar mig på det här sättet kan jag ge dig det här svaret eller utföra den här funktionen.”

Det betyder inte att systemen behöver veta hur den andra sidan fungerar internt. De behöver bara följa reglerna för gränssnittet.

Tänk dig en väderapp

Anta att du öppnar en väderapp och vill veta om det kommer att regna i Stockholm.

Väderappen behöver inte själv ha tusentals väderstationer runt om i världen.

I stället kan den fråga en vädertjänst:

”Vad är prognosen för Stockholm?”

Vädertjänsten tar emot frågan och skickar tillbaka information som temperatur, nederbörd och vind.

Väderappen kan sedan visa informationen på ett enkelt sätt för dig.

Det är ett typiskt exempel på hur ett API kan användas.

Lite som att beställa på restaurang

En vanlig liknelse är en restaurang.

Du sitter vid ett bord och behöver inte gå in i köket och tala om för kocken exakt hur maten ska lagas.

Du beställer från menyn.

Servitören tar beställningen till köket och kommer tillbaka med resultatet.

Förenklat kan man tänka så här:

• du eller appen är kunden
• menyn beskriver vad som går att beställa
• API:t är den överenskomna vägen för beställningen
• systemet bakom API:t gör själva arbetet
• svaret kommer tillbaka till den som frågade

Liknelsen är inte perfekt, men den fångar en viktig del: systemen behöver en gemensam och förutsägbar metod för att prata med varandra.

Request och response

När ett program frågar ett annat system efter något kallas frågan ofta en request, alltså en begäran.

Svaret kallas en response.

En begäran kan exempelvis vara:

”Ge mig vädret för Stockholm.”

Svaret kan innehålla:

• temperatur
• väderförhållanden
• vind
• prognos för de kommande timmarna

Request–response är mycket vanligt i webb-API:er, men det är inte det enda sättet API:er kan fungera på.

Vad är en endpoint?

När man läser om API:er stöter man snabbt på ordet endpoint.

En endpoint är en bestämd åtkomstpunkt i ett API för en viss typ av funktion eller information.

Ett väder-API skulle exempelvis kunna ha olika endpoints för:

• aktuellt väder
• prognoser
• historisk väderdata
• varningar

Man kan ungefär tänka på dem som olika luckor i samma system. Vilken lucka du använder beror på vad du vill göra.

En endpoint är däremot inte samma sak som hela API:t.

GET och POST

I många webb-API:er används metoder som GET och POST.

Förenklat kan man tänka:

GET – hämta information.

Exempel:

”Ge mig dagens väder.”

POST – skicka information eller be systemet skapa eller behandla något.

Exempel:

”Skapa den här bokningen.”

Det finns fler metoder, bland annat PUT, PATCH och DELETE, men som nybörjare räcker det långt att förstå att GET och POST beskriver olika typer av handlingar.

Vad är JSON?

API:er behöver också ett format för informationen som skickas mellan systemen.

Ett vanligt sådant format på webben är JSON, JavaScript Object Notation.

Information om väder skulle exempelvis kunna beskriva en plats, temperatur och väderförhållanden i en tydligt strukturerad form.

Det gör informationen relativt enkel för program att läsa och bearbeta.

Men JSON är inte själva API:t.

Och alla API:er använder inte JSON.

API:er finns på fler ställen än du tror

API:er används inte bara av programmerare som bygger stora IT-system.

De finns bakom mängder av tjänster du använder i vardagen.

Till exempel när:

• en reseapp visar en karta
• en webbutik kontrollerar en betalning
• en webbplats visar information från en annan tjänst
• ett företag kopplar ihop sitt ekonomisystem med ett annat system
• en app hämtar information om trafik eller väder
• ett AI-system använder en extern tjänst eller ett verktyg

Ett API behöver dessutom inte gå över internet. API:er kan också finnas lokalt i en dator, ett operativsystem, ett programbibliotek eller mellan olika delar av ett större system.

Varför behövs API-nycklar?

Många API-tjänster vill veta vilket program, projekt eller konto som använder tjänsten.

Därför används ofta en API-nyckel.

Den kan fungera ungefär som ett särskilt passerkort för ett program.

API-tjänsten kan exempelvis använda nyckeln för att:

• identifiera vilket projekt som skickar begäran
• hålla reda på användningen
• begränsa åtkomst
• koppla användning till ett abonnemang eller konto
• stoppa en nyckel som missbrukas

En API-nyckel ska därför normalt behandlas som en hemlighet.

Men en API-nyckel betyder inte automatiskt att systemet vet vilken fysisk person som sitter framför datorn.

Autentisering och auktorisering är inte samma sak

Två ord som ofta blandas ihop är autentisering och auktorisering.

Autentisering handlar om:

Vem eller vad är du?

Systemet försöker verifiera identiteten på en användare, applikation eller annan aktör.

Auktorisering handlar i stället om:

Vad får du göra?

En användare kan exempelvis vara korrekt inloggad men ändå sakna rättighet att läsa vissa dokument, ändra inställningar eller radera information.

Man kan jämföra det med ett passerkort på en arbetsplats.

Kortet kan visa vem du är, samtidigt som systemet bestämmer vilka dörrar just ditt kort får öppna.

Vad är OAuth?

I moderna tjänster stöter man ofta på OAuth.

OAuth används för delegerad åtkomst.

Det innebär att du kan ge en applikation begränsad tillgång till något i en annan tjänst utan att behöva lämna ut ditt lösenord till applikationen.

Ett program skulle till exempel kunna få rätt att läsa vissa uppgifter från en tjänst men inte ändra dem.

Du bestämmer alltså inte bara om åtkomst ska ges, utan ofta också vilken åtkomst.

OAuth används ofta tillsammans med inloggningslösningar, men OAuth i sig ska inte förenklas till att bara betyda ”inloggning”.

Ett API kan också säga nej – rate limits

En tjänst kan inte alltid tillåta obegränsat antal anrop.

Därför använder många API:er så kallade rate limits.

Det betyder att tjänsten begränsar hur många begäranden som får göras under en viss period.

Det kan bland annat skydda tjänsten mot:

• överbelastning
• felaktiga program som skickar för många anrop
• missbruk
• orimligt hög resursförbrukning

Om gränsen passeras kan API:t helt enkelt säga nej tills användningen åter ligger inom den tillåtna nivån.

Vad är en webhook?

Ett vanligt API-anrop börjar med att ett program frågar efter något.

En webhook kan användas i motsatt riktning.

I stället för att ett program gång på gång frågar:

”Har något hänt?”

kan tjänsten meddela programmet när något faktiskt händer.

En webbutik skulle exempelvis kunna få ett automatiskt meddelande när en betalning ändrar status.

Det minskar behovet av att ständigt kontrollera samma information.

Vad är ett SDK?

SDK betyder Software Development Kit.

Det är ett paket med verktyg som hjälper utvecklare att bygga mot ett visst system eller en viss plattform.

Ett SDK kan bland annat innehålla:

• färdig kod
• bibliotek
• dokumentation
• exempel
• verktyg för utveckling och testning

Ett API beskriver gränssnittet som program kan använda.

Ett SDK kan göra det enklare för utvecklaren att faktiskt använda det gränssnittet.

Och OpenAPI?

OpenAPI är en specifikation för att beskriva HTTP-baserade API:er på ett strukturerat sätt.

En sådan beskrivning kan bland annat visa:

• vilka endpoints som finns
• vilka metoder som kan användas
• vilka uppgifter som ska skickas
• vilka svar som kan komma tillbaka

Det kan användas för dokumentation och för olika utvecklarverktyg.

OpenAPI ska alltså inte blandas ihop med OpenAI. Namnen råkar bara vara lika.

Vad har API:er med AI att göra?

När AI-system blir bättre på att förstå språk blir det lätt att tänka att de automatiskt kan göra vad som helst i andra system.

Så fungerar det inte.

En AI-modell som bara genererar text kan exempelvis inte automatiskt:

• läsa din kalender
• boka ett hotell
• kontrollera lagret i en butik
• skicka ett mejl
• hämta aktuellt väder

För att kunna göra sådana saker behöver AI-systemet få tillgång till funktioner eller data utanför själva modellen.

Där spelar API:er en viktig roll.

Ett AI-system kan exempelvis få ett verktyg som använder ett väder-API.

Användaren frågar:

”Behöver jag paraply i Stockholm i kväll?”

AI-systemet kan då använda verktyget för att hämta aktuell väderinformation och använda svaret när det formulerar sitt svar.

Det betyder inte att AI-systemet automatiskt får obegränsad tillgång till vädertjänsten eller andra system. Åtkomsten beror på vilka verktyg, behörigheter och regler som faktiskt har satts upp.

Då dyker MCP upp

I takt med utvecklingen av AI-agenter och AI-verktyg har även MCP – Model Context Protocol blivit ett vanligt begrepp.

MCP är ett protokoll som kan hjälpa AI-applikationer att ansluta till externa verktyg och datakällor på ett mer standardiserat sätt.

Man kan förenklat säga att API:er beskriver hur olika program kan kommunicera med system och tjänster, medan MCP försöker standardisera delar av hur AI-applikationer hittar och använder verktyg och kontext.

Men MCP ersätter inte automatiskt API:er.

Bakom ett MCP-verktyg kan det fortfarande finnas API:er, databaser, lokala program eller andra system.

Och ett AI-system får inte automatiskt tillgång till allt bara för att MCP används.

Är ett API säkert?

Inte automatiskt.

Ett API är ett gränssnitt.

Hur säkert det blir beror på hur hela lösningen är byggd och konfigurerad.

Säkerheten kan bland annat påverkas av:

• autentisering
• auktorisering
• hur nycklar och andra hemligheter hanteras
• kryptering
• validering av information
• loggning
• rate limits
• vilka funktioner API:t gör tillgängliga
• hur snabbt säkerhetsproblem åtgärdas

Ett dåligt skyddat API kan bli en väg in till känsliga funktioner eller data.

Ett välbyggt API kan däremot ge mycket noggrann kontroll över vad olika system får göra.

Alla API:er fungerar inte likadant

När människor säger API på webben menar de ofta ett webb-API som kommunicerar över internet.

Men begreppet är mycket bredare.

Alla API:er:

• går inte över internet
• är inte REST-API:er
• använder inte JSON
• bygger inte enbart på request–response
• använder inte API-nycklar
• ser inte ut som vanliga webbadresser

Det gemensamma är själva grundidén:

Det finns ett definierat gränssnitt som talar om hur ett system kan använda funktioner eller kommunicera med ett annat system.

Det viktigaste att komma ihåg

Du behöver inte kunna programmera för att förstå vad ett API gör.

Kom bara ihåg grundprincipen:

Ett API är en kontrollerad och överenskommen väg som gör det möjligt för programvara att kommunicera med annan programvara.

Det är därför API:er finns nästan överallt i dagens digitala värld.

De kopplar ihop appar, webbtjänster, betalningar, kartor, företagssystem, molntjänster – och allt oftare även AI-system och deras verktyg.

💬 Vad tycker du?

Hade du hört ordet API tidigare – och blev det tydligare vad det faktiskt betyder?

Skriv gärna en kommentar och berätta vilken teknisk term du tycker att NextNet ska förklara nästa gång.

📚 Relaterade artiklar