API Nedir? Ne İşe Yarar, Nasıl Çalışır ve İşletmeler Nasıl Kullanır?

API nedir sorusunun kısa cevabı: iki yazılımın birbiriyle önceden belirlenmiş kurallarla konuşmasını sağlayan arayüz. Bu rehberde API'nin neyin kısaltması olduğunu, nasıl çalıştığını, REST mimarisinin ve erişim anahtarlarının ne anlama geldiğini, türlerini, işletmelerdeki kullanım alanlarını ve güvenlikte nelere dikkat edilmesi gerektiğini anlatıyoruz.

Tanımlar MDN, IETF standartları (RFC), REST'i tanımlayan doktora tezi, OpenAPI Specification ve OWASP kaynaklarından alındı; okuma tarihi 2026-11-13.

API nedir? Uygulama programlama arayüzünün tanımı

API, İngilizce Application Programming Interface ifadesinin kısaltmasıdır; Türkçede uygulama programlama arayüzü denir. MDN'nin tanımına göre API, bir yazılımın içinde bulunan ve onunla bir insan arayüzü yerine yazılım aracılığıyla etkileşim kurulmasını sağlayan özellik ve kurallar bütünüdür. MDN bu arayüzü, hizmeti sunan uygulama ile onu kullanan yazılım arasındaki basit bir sözleşme olarak da tarif ediyor.

Gündelik bir benzetme: Bir restoranda mutfağa kendiniz girmezsiniz; menüden seçer, garsona söylersiniz. Menü neyin istenebileceğini, garson isteğin nasıl iletileceğini belirler. API de bir yazılımın menüsü ve garsonudur: Hangi verinin istenebileceğini ve isteğin hangi biçimde yapılacağını tanımlar.

API nasıl çalışır?

Web dünyasındaki API'lerin çoğu HTTP üzerinden çalışır ve bir istek ile bir yanıttan oluşur:

1. İstek: İstemci (bir web sitesi, mobil uygulama ya da bot), API'nin belirli bir adresine istek gönderir. İsteğin türünü HTTP yöntemi belirler; RFC 9110 GET, POST, PUT ve DELETE gibi standart yöntemleri tanımlar.
2. Kimlik doğrulama: API, isteği yapanın kim olduğunu ve neye yetkisi olduğunu kontrol eder. Bunun için çoğunlukla bir anahtar ya da erişim belirteci kullanılır.
3. İşlem: Sunucu isteği işler: veriyi okur, kaydeder ya da günceller.
4. Yanıt: API bir durum kodu (başarılı istekte 200 gibi) ve genellikle JSON biçiminde veri döner.

Önemli bir ayrıntı: API'ler sınırsız değildir. RFC 6585, belirli bir sürede çok fazla istek gönderildiğinde kullanılan 429 Too Many Requests durum kodunu tanımlar; bu yüzden bir API entegrasyonu, sağlayıcının istek sınırlarına uyacak şekilde kurulmalıdır.

REST API nedir?

REST, Roy Fielding'in 2000 yılında California Üniversitesi Irvine'de sunduğu doktora tezinde tanımladığı bir mimari tarzdır. REST API, bu tarza uygun olarak her kaynağın (ürün, sipariş, müşteri gibi) bir adresi olduğu ve bu kaynaklar üzerinde standart HTTP yöntemleriyle işlem yapılan arayüzdür. Örneğin bir sipariş API'sinde siparişleri listelemek için GET, yeni sipariş oluşturmak için POST kullanılır.

Bir arayüzün hangi adreslere hangi istekleri kabul ettiğinin makinenin de okuyabileceği biçimde yazılması için yaygın bir standart vardır. OpenAPI Specification, HTTP API'leri için programlama dilinden bağımsız bir arayüz tanımı sunar ve servisin yeteneklerinin kaynak koda bakmadan anlaşılmasını sağlar.

API anahtarı nedir?

API anahtarı, bir servisi kullanan uygulamayı tanıyan gizli bir değerdir; bir tür kullanıcı adı ve şifre gibi düşünülebilir. API anahtarını alan herkes sizin adınıza istek gönderebileceği için anahtarlar web sitesinin herkese açık koduna yazılmaz, sunucu tarafında saklanır, yalnızca gereken yetkilerle oluşturulur ve sızdığından şüphelenildiğinde hemen yenilenir.

"API nasıl açılır?" sorusunun cevabı da buradan geçer: Kullanmak istediğiniz servisin geliştirici sayfasında hesap açar, bir uygulama tanımlar ve anahtarınızı ya da erişim bilgilerinizi oradan alırsınız. Pazaryeri ya da ödeme kuruluşu gibi iş ortağı API'lerinde bu bilgiler genellikle satıcı ya da üye işyeri panelinden verilir.

API çeşitleri nelerdir?

API'ler en sık iki açıdan sınıflandırılır: kime açık oldukları ve hangi mimariyle yazıldıkları. Mimari tarafta REST'in yanında GraphQL, SOAP ve gerçek zamanlı veri için WebSocket gibi yaklaşımlar da kullanılır. Erişim açısından ise üç tür öne çıkar:

API işletmelerde ne işe yarar?

API'nin işletmeler için asıl değeri, bir sistemdeki verinin elle kopyalanmadan başka bir sisteme aktarılmasıdır. Tipik API kullanım alanları:

• Pazaryeri entegrasyonu: Stok, fiyat ve siparişin Trendyol ya da Hepsiburada gibi pazaryerleriyle eşitlenmesi. Konuyu pazaryeri entegrasyonu sayfamızda anlattık.
• Ödeme ve kargo: Ödemenin bir ödeme kuruluşunun API'siyle alınması, kargo etiketinin ve takip numarasının otomatik oluşturulması.
• Muhasebe ve e-fatura: Siparişin fatura ve cari kaydına otomatik dönüşmesi.
• Mesajlaşma: Sipariş ve randevu bildirimlerinin WhatsApp gibi kanallardan otomatik gönderilmesi; WhatsApp tarafını WhatsApp Business API yazımızda ele aldık.
• Yapay zekâ: Bir dil modelinin API'si üzerinden metin özetleme, sınıflandırma ya da müşteri sorularını yanıtlama.

API olmayan sistemlerde aynı iş ekran üzerinden çalışan botlarla yapılabilir. Ancak API ile kurulan entegrasyon, ekran tasarımı değiştiğinde bozulmadığı için daha dayanıklıdır. Bu farkı RPA nedir yazımızda karşılaştırdık.

API güvenliği: en sık riskler

API'ler veriye doğrudan erişim sağladığı için güvenlik hataları büyük sonuçlar doğurabilir. OWASP API Security Top 10 (2023) listesinin ilk sırasında "Broken Object Level Authorization" yer alıyor: Bir kullanıcının, yalnızca kimlik numarasını değiştirerek başka bir kullanıcının verisine erişebilmesi. Listede bozuk kimlik doğrulama ve sınırsız kaynak tüketimi gibi riskler de bulunuyor. Pratikte şu kurallar bu risklerin çoğunu azaltır:

• Her API isteğinde kullanıcının o kayda erişim yetkisi olup olmadığını kontrol edin.
• API anahtarlarını sunucuda saklayın ve en az yetkiyle oluşturun.
• İstek sınırı koyun ve olağandışı trafiği kaydedin.
• Yanıtta gerekenden fazla veri döndürmeyin.

API entegrasyonu maliyetini ne belirler?

API entegrasyonunun maliyeti, bağlanılacak sistem sayısına, belgelerin kalitesine, veri eşleştirmenin karmaşıklığına ve hata durumlarında ne yapılacağına göre değişir. Bazı servisler API kullanımını ayrıca ücretlendirir; bu ücret servisin kendi fiyat sayfasında yazar. Teklif alırken geliştirmenin yanında izleme ve bakımın da kalem olarak yazılmasını isteyin; API sağlayıcıları sürüm değiştirdiğinde entegrasyonun da güncellenmesi gerekir.

Duman Dijital önerimiz: Bir işi otomatikleştirirken önce kullandığınız sistemin resmi API'si olup olmadığına bakın. Varsa entegrasyonu onun üzerine kurun. Gerekçemiz: API, servisin dış dünyaya açtığı tanımlı sözleşmedir; ekran tasarımı değişse bile sözleşme aynı kaldıkça entegrasyon çalışmaya devam eder.

Sistemlerinizi API ile birbirine bağlamak ya da kendi arayüzünüzü geliştirmek istiyorsanız yaklaşımımızı özel yazılım geliştirme sayfamızda anlattık. Tekrar eden işleri API, akış aracı ya da botla otomatikleştirme seçeneklerini iş akışı otomasyonu ve bot yazılımı sayfamızda bulabilirsiniz.

Kaynaklar

• MDN Web Docs, API (Glossary).
• RFC 9110, HTTP Semantics; RFC 6585, Additional HTTP Status Codes (429).
• Roy T. Fielding, Architectural Styles and the Design of Network-based Software Architectures, doktora tezi, University of California, Irvine, 2000.
• OpenAPI Specification.
• OWASP API Security Top 10, 2023.