Was ist API-Monitoring? Definition, Metriken und Vorteile

Was ist API-Monitoring?

API-Monitoring bedeutet, Ihre API-Endpoints nach Zeitplan von außerhalb des eigenen Netzes aufzurufen und zu prüfen, ob jede Antwort verfügbar, korrekt und schnell genug ist. Schlägt eine Prüfung fehl oder wird sie langsam, geht ein Alarm an Ihr Team. So erfahren Sie von einer defekten oder langsamer werdenden API, bevor Kunden oder abhängige Systeme sie melden.

So funktioniert API-Monitoring

1. Eine geplante Anfrage. Ein Monitor sendet von einem oder mehreren Standorten einen echten HTTP-Request an einen API-Endpoint, bei Bedarf mit Headern und Auth-Token.
2. Assertions. Der Monitor vergleicht die Antwort mit Ihrer Erwartung: Statuscode, Felder im Body, Header und Antwortzeit. Ein 200 mit falschem Inhalt sollte trotzdem fehlschlagen.
3. Ergebnisse werden gespeichert. Jeder Lauf bleibt erhalten, sodass Sie Verfügbarkeit, Latenztrends und Fehlerraten über die Zeit sehen.
4. Alarme. Ein Ausfall, eine langsame Antwort oder eine Wiederherstellung benachrichtigt die richtigen Personen per E-Mail, Chat oder Bereitschaftstool.
5. Berichte. Dashboards und eine öffentliche Statusseite zeigen Team und Kunden den aktuellen Zustand.

Was Sie messen sollten

• Verfügbarkeit. Der Anteil erfolgreicher Prüfungen, meist als Uptime angegeben.
• Antwortzeit. Wie lange der Aufruf dauert. Beobachten Sie das langsame Ende (p95, p99), nicht nur den Durchschnitt. Siehe Latenz.
• Korrektheit. Statuscode, Schema und Schlüsselwerte im Body. Eine API kann erreichbar sein und trotzdem falsche Daten liefern.
• Fehlerrate. Der Anteil von 4xx- und 5xx-Antworten, aufgeschlüsselt nach Endpoint.
• Zertifikatsablauf. Ein abgelaufenes TLS-Zertifikat legt alle Clients gleichzeitig lahm.
• Drittanbieter-Abhängigkeiten. Die Zahlungs-, E-Mail- oder Identitäts-APIs, auf die sich Ihr Produkt stützt.

Arten von API-Monitoren

• Einzelne Requests bestätigen, dass ein Endpoint richtig antwortet.
• Mehrstufige Prüfungen verketten Requests, zum Beispiel anmelden, das erhaltene Token in den nächsten Aufruf übernehmen, dann einen Datensatz anlegen und lesen. Sie finden Fehler, die nur in einer Abfolge auftreten.
• Synthetic Monitoring führt skriptgesteuerte Prüfungen nach Zeitplan von festen Standorten aus; Real User Monitoring (RUM) misst echte Besucher. Jedes sieht Dinge, die das andere nicht sieht: Was ist Synthetic Monitoring und der Vergleich Synthetic vs. Real User Monitoring (auf Englisch) erklären, wann was passt.

Ein einfaches Beispiel

Ein Monitor ruft alle paar Minuten aus zwei Regionen GET https://api.example.com/health auf. Er prüft Status 200, einen JSON-Body mit "status": "ok" und eine Antwortzeit unter 800 ms. Zwei aufeinanderfolgende Fehler aus beiden Regionen lösen einen Alarm im Chat aus; der erste Erfolg danach sendet eine Wiederherstellungsmeldung. Mehrere Fehlschläge vor dem Alarm zu verlangen verhindert, dass ein einzelner Netzwerkaussetzer jemanden aufweckt.

Häufige Fehler

• Nur den Statuscode prüfen. Prüfen Sie auch Body und Antwortzeit.
• Nur den Health-Endpoint überwachen. Er kann grün bleiben, während Checkout oder Login kaputt sind. Decken Sie die geschäftskritischen Endpoints ab.
• Ein einziger Standort. Eine einzelne Messstelle kann einen Ausfall nicht von einem lokalen Netzproblem unterscheiden.
• Alarm bei jedem Fehlschlag. Nutzen Sie Wiederholungen oder eine Schwelle aufeinanderfolgender Fehler, sonst werden Alarme zu Rauschen, das niemand mehr beachtet.
• Wiederherstellungs- und Latenzalarme ignorieren. Langsam, aber erreichbar ist für den Kunden trotzdem ein Vorfall.
• Den Trend nie ansehen. Ein langsamer Anstieg der p95-Latenz ist lange vor einem Ausfall eine Kapazitätswarnung.

API-Monitoring, API-Tests und Lasttests

Sie beantworten unterschiedliche Fragen. API-Tests prüfen, ob sich die API korrekt verhält, meist vor dem Release. Lasttests prüfen das Verhalten unter vielen gleichzeitigen Nutzern. API-Monitoring beobachtet die Live-API dauerhaft. Die meisten Teams brauchen alle drei; der Leitfaden zu den besten API-Monitoring-Tools (auf Englisch) vergleicht Optionen.

API-Monitoring mit LoadFocus

LoadFocus API-Monitoring prüft Statuscode, Antwort-Body, Header und Antwortzeit aus mehreren seiner 25 Cloud-Regionen. Der kostenlose Tarif führt Prüfungen alle 5 Minuten aus und enthält eine öffentliche Statusseite; kostenpflichtige Tarife prüfen häufiger. Alarme gehen an E-Mail, Slack, Microsoft Teams, Discord, PagerDuty, Opsgenie oder einen Webhook, mit Wiederholungen und einer Schwelle aufeinanderfolgender Fehler gegen Rauschen. Mehrstufige Prüfungen geben Werte zwischen Requests weiter, und Prüfungen lassen sich als Code definieren, siehe Monitoring as Code und Statusseiten. Die Einrichtung steht in der API-Monitoring-Dokumentation.

Häufige Fragen zu API-Monitoring

Was ist der Unterschied zwischen API-Monitoring und API-Tests?

Tests prüfen das Verhalten zu einem Zeitpunkt, typischerweise in Entwicklung oder CI. Monitoring läuft dauerhaft gegen die Live-API und alarmiert Sie, wenn etwas ausfällt oder langsam wird.

Wie oft sollte ich eine API prüfen?

Richten Sie sich nach den Kosten eines Ausfalls. Kritische Endpoints verdienen das kürzeste Intervall, das Ihr Tarif bietet; weniger kritische können alle paar Minuten laufen. Kombinieren Sie häufige Prüfungen mit Wiederholungen, damit ein einzelner Aussetzer niemanden alarmiert.

Worauf sollte ich alarmieren?

Auf Fehler, die mehr als eine Prüfung oder ein Standort bestätigt, auf Antwortzeiten über Ihrer Schwelle und auf ablaufende Zertifikate. Senden Sie außerdem Wiederherstellungsmeldungen, damit das Team weiß, dass ein Vorfall beendet ist.

Ist API-Monitoring dasselbe wie ein Uptime-Check?

Ein Uptime-Check fragt nur, ob der Server antwortet. API-Monitoring validiert zusätzlich den Inhalt der Antwort und ihre Geschwindigkeit und kann mehrstufige Abläufe ausführen.

Ersetzt API-Monitoring Observability?

Nein. Monitoring zeigt von außen, dass etwas nicht stimmt; Observability-Daten wie Logs und Traces helfen zu erklären, warum.

Welche APIs sollte ich überwachen?

Ihre eigenen kritischen Endpoints und jede Drittanbieter-API, ohne die Ihr Produkt nicht funktioniert, etwa für Zahlungen oder Authentifizierung.