Patronen voor de API-gateway
- Stap 1 · Open uw ontwikkelomgeving
- Stap 2 · Verbind het bestaande systeem
- Stap 3 · Maak een beveiligingsbeleid met drie inlogmethoden
- Stap 4 · Stel de handtekening in
- Stap 5 · Maak de API en koppel het beleid
- Stap 6 · Een proxy-endpoint voor het voorraadsysteem
- Stap 7 · Zonder aanmelden: geweigerd
- Stap 8 · Met een handtekening: binnen
- Stap 9 · De openbare beschrijving
De gateway is de ene voordeur voor alles wat uw organisatie aan API's aanbiedt — ook voor systemen die u niet zelf bouwt. U zet een bestaand voorraadsysteem achter een proxy-endpoint, kiest per API hoe afnemers zich aanmelden (API-sleutel, OAuth 2.0, webhook-handtekening), ziet een ondertekende aanroep binnenkomen en een onondertekende stranden, en zet de beschrijving van de API openbaar.
Open uw ontwikkelomgeving
API's ontwerpt u in Ontwikkeling; ze gaan met een versie mee naar Acceptatie en Productie. Verbindingen niet: die stelt u per omgeving in, met de sleutels van die omgeving.
- Klik op Ontwikkeling
- Klik op Openen ↗
Verbind het bestaande systeem
Onder Verbindingen kiest u Algemene HTTP-API: basis-URL, sleutel en wat Flow ermee mag. De sleutel blijft versleuteld op de server en is nooit meer leesbaar. Alleen lezen betekent: Flow doet hier alleen GET.
- Klik op Verbindingen
- Klik op Algemene HTTP-API Eigen API Elke REST-API met een basis-URL en een sleutel. Gebr
- Vul in bij Naam:
Voorraadsysteem - Vul in bij Basis-URL:
http://127.0.0.1:55492 - Vul in bij Geheim:
••••••••
- Klik op Opslaan
Maak een beveiligingsbeleid met drie inlogmethoden
Onder Beveiliging maakt u een beleid. Eén methode volstaat voor een afnemer: een partner met een API-sleutel, een applicatie met OAuth 2.0 (client credentials) of een webhook die zijn bericht ondertekent met een gedeeld geheim (HMAC, zoals GitHub en Stripe). Openbaar staat uit: elke aanroep hoort herleidbaar te zijn.
- Klik op Beveiliging
- Klik op Nieuw beveiligingsbeleid
- Vul in bij Naam:
Partners en webhooks
- Klik op OAuth 2.0 Client credentials; JWT-tokens van deze gateway
- Klik op Webhook-handtekening HMAC over de body (GitHub, Stripe, Shopify-stijl)
Stel de handtekening in
Zeg in welke header de afzender zijn handtekening zet, met welk voorvoegsel, en het gedeelde geheim. Flow rekent zelf de HMAC over de ontvangen body na; klopt hij niet, dan komt de aanroep niet binnen.
- Vul in bij Handtekening-header:
X-Signature - Vul in bij Voorvoegsel:
sha256= - Vul in bij Geheim:
••••••••
- Klik op Beleid opslaan
Maak de API en koppel het beleid
Het beleid hangt aan de API, niet aan elk endpoint: alle endpoints erven het en mogen het alleen aanscherpen (minder methoden, meer rechten, een lagere limiet). Zet ook Openbare documentatie aan: dan kan iedereen de OpenAPI-beschrijving lezen, maar niemand de API aanroepen zonder aanmelden.
- Klik op Verkenner
- Klik op Toevoegen aan Algemeen
- Klik op Nieuwe API
- Vul in bij Naam:
Voorraad - Vul in bij Basispad:
/magazijn - Kies bij Beveiligingsbeleid: Partners en webhooks
- Klik op Beschrijving openbaar
- Klik op API opslaan
Een proxy-endpoint voor het voorraadsysteem
Niet elk endpoint heeft een workflow nodig. Doorsturen naar verbinding zet de aanvraag door naar het bestaande systeem, met de sleutel uit de verbinding. De afnemer ziet uw adres en uw beveiliging, nooit de sleutel of het adres van het systeem erachter.
- Klik op ＋ Endpoint
- Vul in bij Naam:
Artikelen - Kies bij Methode: GET
- Vul in bij Pad:
/artikelen
- Klik op Doorsturen naar verbinding
- Kies bij Verbinding: Voorraadsysteem
- Vul in bij Upstream-pad:
/items
- Klik op Endpoint opslaan
Zonder aanmelden: geweigerd
Rechts onder Proberen roept u het endpoint aan zoals een afnemer. Zonder sleutel, token of handtekening antwoordt de gateway met 401; het voorraadsysteem merkt er niets van.
- Kies bij Authenticatie: Geen
- Klik op ▶ Verstuur
Met een handtekening: binnen
Een partnersysteem roept hetzelfde endpoint aan en ondertekent zijn bericht. Onder Uitvoeringen → Live verkeer ziet u beide aanroepen: de 401 en de 200, met hoe de afnemer zich aanmeldde. IP-adressen worden ingekort bewaard.
- Klik op Uitvoeringen
- Klik op Live verkeer
De openbare beschrijving
Omdat Openbare documentatie aanstaat, opent de OpenAPI-link bij de API voor iedereen, zonder sleutel: ontwikkelaars van partners bouwen ertegen zonder dat u een account voor ze maakt.
- Klik op Verkenner
- Klik op Voorraad v1 /magazijn
- Klik op OpenAPI van deze API ↗
Deze handleiding is op 22 okt 2026 stap voor stap uitgevoerd door een geautomatiseerde test op Flow (versie 3e563176).