Glossar für API-Tests

The concepts these APIs exercise, each defined in a paragraph and then demonstrated by an endpoint you can call. Every entry names the misconception people actually hold about it, because that is usually the part standing between reading the definition and getting it right.

• Mock-API — Ein Ersatz für eine echte API, der realistische Antworten liefert, ohne dass das eigentliche System dahintersteckt.
• REST-API — Eine API, die ein System als adressierbare Ressourcen modelliert, die mit Standard-HTTP-Methoden manipuliert werden.
• ETag — Eine undurchsichtige Versionskennung für eine Repräsentation, die dazu dient, ein erneutes Senden zu vermeiden und widersprüchliche Schreibvorgänge zu erkennen.
• HATEOAS — Hypermedia als Motor des Anwendungszustands – Antworten enthalten die Verknüpfungen zu allem, was Sie als Nächstes tun können.
• Bearer-Token — Ein Ausweisdokument, bei dem allein der Besitz Zugang gewährt – wer es besitzt, kann es benutzen.
• JWT (JSON Web Token) — Ein kompaktes Format für Claims, als signiertes JWS oder verschlüsseltes JWE.
• Webhook — Ein HTTP-Callback, den Ihnen der Server sendet, wenn etwas passiert, anstatt dass Sie selbst abfragen müssen.
• HMAC-Signatur — Ein verschlüsselter Hashwert beweist, dass die Nutzdaten von jemandem stammen, der das gemeinsame Geheimnis besitzt, und dass sie nicht verändert wurden.
• Inhaltsverhandlung — Client und Server einigen sich auf das Format der Antwort, und zwar über Header anstatt über separate URLs.
• Sichere und idempotente Methoden — Zwei unabhängige Eigenschaften von HTTP-Methoden, die festlegen, welche Methoden ein Client wiederholen darf.
• CORS — Die Browserregel, die festlegt, ob JavaScript von einer Domain eine Antwort von einer anderen Domain lesen darf.
• API-Endpunkt — Eine URL plus eine HTTP-Methode – die kleinste Einheit einer API, die ein Client aufrufen kann.
• HTTP-Statuscodes — Die dreistellige Zahl am Anfang jeder HTTP-Antwort, die vor dem eigentlichen Antworttext angibt, was passiert ist.
• PUT vs PATCH — PUT ersetzt eine Ressource durch die von Ihnen gesendete Repräsentation; PATCH wendet eine Reihe von Änderungen darauf an.
• Abfrageparameter — Die Schlüssel-Wert-Paare nach dem Fragezeichen in einer URL dienen dazu, die Ergebnisse eines Endpunkts zu filtern, zu sortieren, zu paginieren oder zu strukturieren.
• Pfadparameter — Ein variabler Abschnitt eines URL-Pfades, wie zum Beispiel die 42 in /orders/42 , der eine bestimmte Ressource identifiziert.
• HTTP-Header — Name-Wert-Metadaten werden mit jeder Anfrage und Antwort separat vom Nachrichtentext gesendet.
• OpenAPI — Eine maschinenlesbare Beschreibung einer HTTP-API – ihrer Pfade, Parameter, Bodys und Antworten – in JSON oder YAML.
• Postman-Sammlung — Eine gespeicherte, teilbare Gruppe von API-Anfragen – mit ihren Headern, Bodys, Variablen und Tests – im JSON-Format von Postman.
• GraphQL — Eine Abfragesprache für APIs, bei der der Client die gewünschten Felder exakt angibt, üblicherweise über einen einzigen Endpunkt.
• OAuth 2.0 — Das Standard-Framework, das es einer Anwendung ermöglicht, ein eingeschränktes Zugriffstoken zu erhalten, anstatt das Passwort des Benutzers zu verwalten.
• Client-Anmeldeinformationen gewähren — Der OAuth-Ablauf für einen Dienstaufruf durch einen anderen: Der Client tauscht seine eigene ID und sein Geheimnis gegen ein Zugriffstoken.
• PKCE — Proof Key for Code Exchange – ein einmaliges Geheimnis, das verhindert, dass ein gestohlener OAuth-Autorisierungscode von jemand anderem eingelöst werden kann.
• Aktualisierungstoken — Ein langlebiges Benutzerkonto, das ausschließlich dazu dient, neue, kurzlebige Zugriffstoken zu erhalten, ohne dass sich der Benutzer erneut anmelden muss.
• OpenID Connect — Eine Identitätsschicht über OAuth 2.0, die dem Client in Form eines signierten ID-Tokens mitteilt, wer der Benutzer ist.
• API-Schlüssel — Eine statische geheime Zeichenkette, die die aufrufende Anwendung identifiziert und mit jeder Anfrage gesendet wird.
• Basisauthentifizierung — Mit jeder Anfrage werden Benutzername und Passwort im Authorization-Header Base64-kodiert gesendet.
• Authentifizierung vs. Autorisierung — Die Authentifizierung beweist, wer Sie sind; die Autorisierung entscheidet, was Sie tun dürfen.
• OAuth-Bereiche — Benannte Berechtigungen, die einem Zugriffstoken zugeordnet sind und dessen Verwendungsmöglichkeiten einschränken.
• JWKS — Ein JSON Web Key Set – die öffentlichen Schlüssel, die ein Aussteller veröffentlicht, damit jeder die von ihm signierten Token überprüfen kann.
• Wiederholen — Ein Antwortheader, der dem Client mitteilt, wie lange er warten soll, bevor er es erneut versucht, entweder in Sekunden oder als Datum.
• Exponentielles Backoff — Eine Wiederholungsstrategie, bei der jede Wartezeit länger ist als die vorherige, wobei Zufallselemente hinzugefügt werden, damit die Clients nicht synchron wiederholen.
• Zeitüberschreitung der Anfrage — Die maximale Wartezeit eines Clients auf eine Antwort, bevor er die Anfrage abbricht.
• Vertragsprüfung — Testen, ob eine API und ihre Konsumenten sich über die Form von Anfragen und Antworten einig sind, ohne sie gleichzeitig auszuführen.
• JSON-Schema — Ein JSON-Vokabular zur Beschreibung, wie ein gültiges JSON-Dokument aussehen soll, damit Dokumente automatisch validiert werden können.
• API-Versionierung — Mehrere Versionen einer API können parallel betrieben werden, sodass Änderungen, die die Funktionalität beeinträchtigen, keine bestehenden Clients beeinträchtigen.
• Veralteungs- und Sunset-Header — Antwort-Header, die einen Client warnen, dass ein Endpunkt bald nicht mehr erreichbar sein wird und wann er nicht mehr funktionieren wird.
• Cache-Steuerung — Der Header, der Browsern, CDNs und Proxys mitteilt, ob eine Antwort gespeichert werden darf, von wem und wie lange.
• Bereichsanfragen — Nur einen Teil einer Ressource anfordern – einen Bytebereich –, damit Downloads fortgesetzt und Medien gesucht werden können.
• multipart/form-data — Das Anfragetextformat zum Hochladen von Dateien zusammen mit Formularfeldern in einer einzigen Anfrage.
• Medientyp (Content-Type) — Die Bezeichnung – wie beispielsweise application/json – die angibt, in welchem Format der Nachrichtentext vorliegt, wird im Content-Type übertragen.
• Server-Sent Events (SSE) — Ein unidirektionaler Ereignisstrom vom Server zum Client über eine normale HTTP-Antwort, die offen bleibt.
• JSON-Patch — Ein Standardformat (RFC 6902) zur Beschreibung von Änderungen an einem JSON-Dokument als Liste von Operationen.
• Soft-Löschung — Einen Datensatz als gelöscht markieren, anstatt ihn zu löschen, damit die API sagen kann, dass er nicht mehr existiert, anstatt dass er nie existiert hat.
• Stapelanfragen — Eine Anfrage, die viele Operationen umfasst, wird mit einem Ergebnis pro Operation beantwortet.
• Ressourcenzustandsautomat — Eine Ressource, die definierte Zustände durchläuft – erstellt, versendet, zugestellt – wobei nur bestimmte Übergänge zulässig sind.
• Fehlereinspeisung — Das absichtliche Einbringen von Fehlern – Irrtümern, Latenzzeiten, fehlerhaften Antworten – um zu testen, wie ein System damit umgeht.
• Mocks, Stubs und Fakes — Drei Arten von Test-Doubles – Stellvertreter für eine reale Abhängigkeit –, die sich darin unterscheiden, was sie tun und was sie überprüfen.
• Prüfvorrichtung — Die bekannten Daten und der Ausgangszustand eines Tests werden bei jedem Durchlauf auf die gleiche Weise eingerichtet.
• API-Sandbox — Eine isolierte Kopie einer API, deren Aufrufe keine Auswirkungen auf die reale Welt haben und deren Daten zurückgesetzt werden können.
• cURL — Das Kommandozeilen-Tool zum Erstellen von HTTP-Anfragen und die gemeinsame Sprache zum Austausch eines exakten API-Aufrufs.
• Anforderungs-ID (Korrelations-ID) — Eine eindeutige Kennung wird einer Anfrage und ihren Protokollen zugeordnet, sodass ein Aufruf über alle von ihm berührten Dienste hinweg nachverfolgt werden kann.
• Flaky-Tests — Ein Test, der mal erfolgreich ist und mal fehlschlägt, ohne dass der zu testende Code geändert wird.
• API-Gateway — Ein zentraler Einstiegspunkt vor einem oder mehreren Diensten, der Routing, Authentifizierung, Ratenbegrenzung und Protokollierung übernimmt.
• Grenzwertanalyse — Die Auswahl von Testeingaben an und um die Grenzen des Zulässigen, wo Off-by-One-Fehler auftreten.
• Rauchtest — Bevor gründlichere Prüfungen durchgeführt werden, wird ein kleiner, schneller Satz von Kontrollen ausgeführt, um sicherzustellen, dass die wichtigsten Pfade überhaupt funktionieren.

Diese Seite auf Englisch lesen

Testtechniken · Alle HTTP-Statuscodes · Alle 39 Mock-REST-APIs

Zuletzt aktualisiert 16. Oktober 2026