Een API is een vastgelegde interface waarmee twee softwaresystemen gegevens uitwisselen. Een API-koppeling is de verbinding die van die interface gebruikmaakt, bijvoorbeeld tussen een webshop en een boekhoudpakket. VirtuoLab geeft in 2026 als indicatie €1500 tot €4000 voor een eenvoudige koppeling, en tot €30.000 voor een complexe integratielaag. De meeste zakelijke koppelingen gebruiken REST, webhooks of een eigen formaat van de leverancier, zoals de connectoren van AFAS. REST is de standaard: 93% van de ondervraagde developers gebruikte REST en 50% webhooks (Postman 2025). API-first werken is ook gangbaar, want 82% van de organisaties had enige vorm van API-first-aanpak ingevoerd. Beveiliging gaat vóór functionaliteit, en broken object level authorization staat op nummer 1 in de OWASP API Security Top 10 van 2023. Een goede koppeling controleert daarom de rechten per API-sleutel en per object. VirtuoLab bouwt elke koppeling met Node.js en TypeScript, bijvoorbeeld van betalingen via Mollie naar rapporten in Microsoft Power BI, en de klant is eigenaar van de code.
Wat is een API?
Een API, kort voor application programming interface, is een contract dat vastlegt hoe het ene programma het andere om gegevens of acties vraagt. Het contract beschrijft de endpoints, methoden, het dataformaat en de authenticatie. Een webshop stuurt bijvoorbeeld een POST-verzoek met ordergegevens, en het boekhoudpakket antwoordt met een factuurnummer en HTTP-status 201. De OpenAPI Specification definieert een standaard, taalonafhankelijke interface voor HTTP API's, en is het gangbare formaat om zulke contracten te beschrijven. Met een goed OpenAPI-bestand begrijpt een developer, een testtool of een AI-assistent zoals ChatGPT van OpenAI een API zonder de broncode te lezen. In een enquête onder meer dan 5700 mensen had 82% van de organisaties tot op zekere hoogte een API-first-aanpak ingevoerd, en werkte 25% volledig API-first (Postman 2025). Exact Online, AFAS Profit, Mollie en Stripe bieden allemaal een API. Een webshop kan zo betalingen ontvangen via Mollie en facturen aanmaken in Exact Online, zonder dat iemand gegevens overtypt.
Wat is het verschil tussen API-ontwikkeling en API-integratie?
API-ontwikkeling is het bouwen van een nieuwe API, en API-integratie is het koppelen van bestaande API's aan elkaar. Ten eerste past API-ontwikkeling wanneer een bedrijf gegevens bezit die andere systemen nodig hebben, zoals een productcatalogus voor een mobiele app. De developer ontwerpt dan endpoints, authenticatie, versiebeheer en documentatie. Ten tweede past API-integratie wanneer de systemen al bestaan. Een webshop, een CRM en een boekhoudpakket hebben elk een API, en de koppeling verplaatst orders, klanten en facturen tussen die drie systemen. Kijk wel eerst wat er al is: 34% van de ondervraagde developers kan bestaande API's niet vinden, en 55% worstelt met inconsistente documentatie (Postman 2025). Het lastige deel is zelden de HTTP-aanroep zelf, want die geeft meestal gewoon status 200. Datamapping, dubbele records, foutafhandeling en nieuwe pogingen kosten veel meer tijd. Veel projecten hebben in 2026 allebei nodig: een integratielaag met een eigen kleine API, zodat een dashboard via Microsoft Power BI één consistente bron leest in plaats van vijf externe systemen.
Welke typen API's zijn er?
De vier API-stijlen die een bedrijf het vaakst tegenkomt zijn REST, GraphQL, webhooks en WebSockets, en elke stijl past bij een andere taak. REST is de standaard voor de meeste web-API's: elke resource heeft een URL, en standaard HTTP-methoden zoals GET, POST, PUT en DELETE lezen of wijzigen gegevens. Met GraphQL vraagt de client in één verzoek precies de velden op die een scherm nodig heeft. Webhooks draaien de richting om: systeem A roept een URL bij systeem B aan zodra er iets gebeurt, bijvoorbeeld een betaalde bestelling, en systeem B bevestigt de ontvangst met status 200. Chat en live dashboards blijven actueel via WebSockets, die een verbinding openhouden. In de enquête kwamen webhooks uit op 50% en WebSockets op 35% (Postman 2025). Oudere bedrijfssystemen gebruiken nog SOAP met XML-berichten. Eén koppeling combineert vaak stijlen: een betaalwebhook van Mollie start een REST-aanroep naar Exact Online, dat de factuur aanmaakt. Consistente namen, duidelijke foutmeldingen en documentatie zijn belangrijker dan de stijl, zeker bij een API-first-aanpak in 2026.
Hoe koppel je boekhoud- of ERP-software zoals Exact Online of AFAS?
Exact Online, AFAS Profit of Microsoft Dynamics 365 koppelen is vooral een kwestie van de documentatie van de leverancier nauwkeurig lezen, want elk systeem heeft eigen regels. Exact Online biedt een REST API waarin bijna elke resource-URI een Division-parameter vraagt: de administratie binnen het account. Volgens Exact geven de meeste endpoints 60 records per pagina terug, terwijl bulk- en sync-endpoints er tot 1000 leveren. Het inlezen van 3000 klanten kost 50 aanroepen op een standaard-endpoint, en op een sync-endpoint maar 3. Exact raadt daarom de sync-endpoints aan waar dat kan. AFAS Profit werkt met connectoren: een GetConnector leest gegevens, en een UpdateConnector schrijft gegevens. Elke connector moet eerst worden geactiveerd, en elke aanroep heeft een omgevings-ID en een token nodig. Documentatie is lang niet altijd helder, want 55% van de ondervraagde developers worstelt met inconsistente documentatie (Postman 2025). Een betrouwbare koppeling logt in 2026 ook elke aanroep, terwijl 17% van de respondenten helemaal geen monitoring gebruikt. Zo wordt een betaalde order via Mollie nooit twee facturen.
Hoe houd je een API veilig?
Een veilige API is een API die bij elk verzoek controleert wie de aanroeper is en welke gegevens die aanroeper mag zien. Broken object level authorization staat op nummer 1 in de API Security Top 10, die OWASP in 2023 publiceerde. Een endpoint accepteert dan bijvoorbeeld een ID en geeft het object terug zonder eigenaarscontrole. De algemene OWASP Top 10:2025 bevestigt het patroon: broken access control kwam voor in 100% van de geteste applicaties. Authenticatie draait daarom op een beproefde standaard zoals OAuth 2.0, vastgelegd in RFC 6749. Daarmee krijgt een applicatie beperkte toegang zonder dat wachtwoorden worden gedeeld, bijvoorbeeld via Microsoft Entra ID. Elk endpoint valideert de invoer en controleert de rechten per object, niet alleen per gebruiker. Rate limiting beschermt de API en het budget met statuscode 429 Too Many Requests. Nieuwe risico's tellen ook mee: 51% van de developers maakt zich zorgen over ongeautoriseerde aanroepen door AI-agents (Postman 2025). Tot slot horen geheimen in een kluis, nooit in de broncode.
Wat kost API-ontwikkeling?
API-ontwikkeling kost bij VirtuoLab in 2026 tussen €1500 en €30.000, en het bedrag is afhankelijk van het soort werk. Een eenvoudige koppeling tussen twee goed gedocumenteerde systemen valt op €1500 tot €4000. Webshoporders die via WooCommerce in één richting naar Exact Online gaan, vallen bijvoorbeeld in dat niveau. Een eigen REST API met authenticatie, documentatie en tests valt op €5000 tot €15.000. Een complexe integratielaag met wachtrijen, monitoring en een eigen API, die bijvoorbeeld Microsoft Power BI voedt, valt op €15.000 tot €30.000. De exacte vaste prijs volgt na een gratis kennismaking. Die vaste prijs beschermt het budget, want volgens het PMI-rapport Pulse of the Profession had 52% van de afgeronde projecten in 2018 last van scope creep. Ook documentatie kost geld: 55% van de developers worstelt met inconsistente documentatie (Postman 2025). Daarnaast bepalen datavolume, realtime-eisen en het aantal systemen de prijs. VirtuoLab bouwt elke koppeling zelf met Node.js en TypeScript, en na oplevering is de klant eigenaar van de broncode en de data.
Veelgestelde vragen
Kies je voor REST of GraphQL?
REST is de beste standaardkeuze voor de meeste zakelijke API's, en GraphQL is de betere keuze wanneer één scherm gegevens uit veel samenhangende objecten nodig heeft. Het gebruik laat dat verschil zien: in 2025 gebruikte 93% van de ondervraagde developers REST en 33% GraphQL (Postman 2025). REST gebruikt één URL per resource en standaard HTTP-caching, dus de API is eenvoudig te bouwen, testen en bewaken. GraphQL gebruikt één endpoint en een sterk typesysteem, en de client vraagt precies de velden op die een scherm nodig heeft. Een mobiele app die een order toont met klant, producten en bezorgstatus haalt bijvoorbeeld alles op met één query in plaats van vier REST-aanroepen. GraphQL vraagt wel meer werk op de server: limieten op diepte en kosten per GraphQL-query, en slimme caching. Volgens OWASP is unrestricted resource consumption API-risico nummer 4. Een REST API met een beschrijving via OpenAPI houdt een project overzichtelijk, en GraphQL kan volgen als de frontend er duidelijk baat bij heeft.
Wat gebeurt er als een externe API verandert?
Als een externe API verandert, kan een koppeling ongemerkt stukgaan, dus versiebeheer en monitoring horen bij elke serieuze koppeling. Het moment van een wijziging bij de leverancier heb je nooit zelf in de hand. In de enquête van 2025 versioneerde maar 60% van de respondenten de eigen API's, en 17% gebruikte helemaal geen monitoringtools (Postman 2025). Ten eerste legt een koppeling de API-versie vast waar de leverancier dat toestaat. Ten tweede draaien automatische tests tegen een sandbox of testadministratie. Ten derde waarschuwt monitoring via Microsoft Teams of e-mail bij een stijgend aantal fouten, bijvoorbeeld een plotselinge toename van antwoorden met status 500. Tot slot zorgt een onderhoudsafspraak ervoor dat iemand binnen dagen reageert in plaats van weken. Een koppeling met Exact Online of AFAS Profit verdient 4 keer per jaar een blik op de release notes van de leverancier. Zo'n controle kost veel minder tijd dan het herstellen van een week aan orders die in de boekhouding ontbreken.
Is een no-codetool zoals Zapier genoeg?
Een no-codetool zoals Zapier, Make of Microsoft Power Automate is genoeg voor eenvoudige stromen met een laag volume, en een koppeling op maat is de betere keuze zodra volume, logica of privacy-eisen groeien. No-codetools verbinden populaire apps snel, zonder developer. Een formulier uit Google Forms via Zapier doorsturen naar een CRM is bijvoorbeeld een typische klus. De grenzen liggen op drie plekken. Ten eerste wordt complexe datamapping, zoals grootboekrekeningen of productvarianten, lastig te onderhouden in een visuele editor. Ten tweede groeit de prijs mee met het aantal taken: bij 500 runs per dag stijgt het aantal taken per maand naar 15.000. Ten derde lopen de gegevens via een platform van derden, en dat telt onder de AVG. Een koppeling op maat draait op infrastructuur die het bedrijf zelf kiest en logt elke stap, terwijl 17% van de ondervraagde developers geen monitoring gebruikt (Postman 2025). Een no-codeprototype is in 2026 een hands-on manier om een stroom te testen.