API (interface de programmation) : définition simple et exemples

Qu'est-ce qu'une API ?

Une API est un ensemble de règles qui permet à un programme de demander quelque chose à un autre programme, sans écran ni clic humain. Le sigle vient de l'anglais Application Programming Interface. Le terme français officiel, publié au Journal officiel du 30 avril 2022 et repris par FranceTerme, est « interface de programmation d'application », abrégé en « interface de programmation » : une interface logicielle qui permet à un programmeur d'accéder aux fonctions d'une application et d'en développer de nouvelles qui utilisent ces fonctions.

Pour un dirigeant, l'image la plus juste est le comptoir d'un grossiste. Le client n'entre pas dans l'entrepôt : il tend au comptoir un bon de commande au format attendu et sa carte de client, et reçoit la marchandise ou un refus motivé. L'API joue ce rôle de comptoir. Le bon de commande correspond au format de la requête, la carte de client à la clé d'accès, et le règlement du comptoir aux limites d'utilisation fixées par l'éditeur.

Comment fonctionne une API concrètement ?

Une API web fonctionne par requêtes et réponses échangées sur internet, souvent au format JSON, un texte structuré lisible par les machines.

1. Le programme appelant envoie une requête vers une adresse précise, appelée point d'accès, par exemple pour obtenir le stock de l'article 4512.
2. Il présente une clé ou un jeton qui prouve son identité et ses droits.
3. Le logiciel interrogé contrôle la clé, les droits et le format, puis exécute la demande.
4. Il renvoie une réponse : les données demandées, une confirmation, ou un code d'erreur explicite.

De nombreuses API web suivent le style REST (Representational State Transfer), formalisé par Roy Fielding dans sa thèse de doctorat soutenue en 2000 à l'université de Californie à Irvine. Le contrat d'une API peut se décrire dans un fichier OpenAPI, une spécification ouverte portée par l'OpenAPI Initiative, qui liste chaque point d'accès, ses paramètres et ses réponses. C'est le document à demander avant tout projet d'intégration.

Exemples d'API utilisées par les PME

Les API servent d'abord à supprimer les ressaisies entre logiciels.

Sur le site Pièces Peugeot Motocycles, YMHB Web a intégré les services web Chronopost : point relais choisi à la commande, étiquette générée en un clic, suivi envoyé automatiquement. Chronopost a d'abord validé chaque service sur des étiquettes de test avant d'ouvrir les accès de production, une étape à prévoir dès le cadrage.

Quand une entreprise a-t-elle besoin d'une API ?

Une entreprise a besoin d'une API dès qu'une même information vit dans deux logiciels et que quelqu'un la recopie à la main, par exemple quand :

• un export suivi d'un import revient chaque semaine ;
• les clients appellent pour connaître l'état de leur commande, que le logiciel de gestion connaît déjà ;
• des revendeurs réclament vos stocks et vos prix à jour ;
• une application mobile doit afficher les mêmes données que le logiciel du bureau.

Consommer une API, c'est brancher votre logiciel sur celle d'un autre (transporteur, banque, service public) ; exposer une API, c'est ouvrir vos propres données à vos partenaires ou à vos applications, avec des droits précis. Les architectures à plus de deux outils sont détaillées dans la page connecter ses logiciels par API.

Les erreurs et idées reçues sur les API

• « Le logiciel a une API, donc tout est possible. » Une API n'expose que ce que l'éditeur a choisi d'ouvrir, parfois sans le champ dont vous avez besoin : lisez la documentation avant de signer.
• « L'accès à l'API est compris dans l'abonnement. » FranceTerme le rappelle : il appartient au fournisseur de l'API d'en fixer les modalités d'accès, gratuites ou payantes, publiques ou restreintes. À vérifier dans les conditions de l'éditeur.
• « Une fois branchée, l'intégration ne bouge plus. » Les éditeurs publient de nouvelles versions de leur API et en retirent d'anciennes. Une intégration se surveille et se maintient.
• « La sécurité, c'est la clé d'accès. » Dans son classement 2023 des risques propres aux API, l'OWASP place en tête le défaut de contrôle d'autorisation au niveau de l'objet : une API qui vérifie qui appelle, mais pas si cet appelant a droit à cette facture précise, laisse lire les factures des autres clients en changeant un simple numéro.

Termes voisins

• Webhook : l'inverse d'un appel d'API ; le logiciel prévient lui-même quand un événement survient.
• Middleware : la couche intermédiaire qui relie plusieurs logiciels et appelle leurs API à leur place.
• Headless : un site ou une boutique dont l'affichage puise tout son contenu dans une API.
• Interopérabilité : la capacité de systèmes différents à fonctionner ensemble, que les API rendent possible.