C’est quoi l’API management ?

L'API management désigne l'ensemble des moyens par lesquels une organisation expose ses API, en contrôle l'accès et l'usage, et en pilote le cycle de vie. Concrètement, c'est une couche de plateforme placée entre les consommateurs d'API et les services qui les implémentent.

Cette couche rend trois services qu'aucun service métier ne peut rendre seul. Elle découple : le contrat exposé aux consommateurs reste stable pendant que les implémentations changent. Elle mutualise les contrôles transversaux : authentification, quotas, journalisation sont appliqués une fois, au même endroit, au lieu d'être réimplémentés dans chaque service. Elle donne la visibilité : qui consomme quoi, à quel rythme, avec quel taux d'erreur.

Le périmètre dépasse la seule gateway. Une gateway sans gouvernance ni portail applique des règles à un trafic que personne ne sait décrire ; c'est l'équivalent d'un serveur web qu'on aurait pris pour un site.

Les cinq piliers

Cinq fonctions décrivent ce qu'une plateforme doit rendre. Elles servent de grille d'évaluation d'un produit comme de diagnostic d'une plateforme en place.

• Découverte : comment trouve-t-on ce qui existe, et comment fait-on un premier appel ?
• Observabilité : que se passe-t-il, et où est la cause quand ça se dégrade ?
• Gouvernance : comment une API évolue-t-elle, et comment est-elle retirée ?
• Médiation : que fait la plateforme entre l'appel et le service ?
• Accès : qui appelle, avec quelle preuve, et jusqu'où ?

Chaque pilier se dégrade indépendamment des autres, et le coût de la dégradation n'apparaît pas au même endroit : une découverte faible se paie en semaines d'intégration chez les consommateurs, une gouvernance faible se paie le jour où il faut retirer une API que quarante applications appellent. La vue d'ensemble est sur la page des piliers.

Les trois composants

Trois briques techniques portent ces cinq fonctions. Elles n'ont ni le même régime de fonctionnement ni la même criticité, et la plupart des offres commerciales les vendent sous un seul nom.

La gateway est sur le chemin de chaque appel. Elle authentifie, applique les quotas, route, journalise, dans un budget de quelques millisecondes. Sa panne arrête le trafic.

Le control plane est l'endroit où les API, les policies et les contrats se déclarent. Il ne voit passer aucun trafic, et la gateway doit pouvoir continuer à servir si lui s'arrête.

Le portail est la face visible pour les consommateurs : documentation, obtention des identifiants, premier essai. Sa qualité se mesure au délai entre l'arrivée d'un développeur et son premier appel réussi.

Pour aller plus loin

Le guide reprend chacun de ces sujets en détail. Le choix du nombre de gateways et de leur placement est traité dans architecture. Le passage d'une configuration manuelle à une chaîne versionnée est traité dans industrialiser. Pour situer une plateforme existante, commencez par où en êtes-vous.