10 кроків перед тим, як пустити зовнішнє API в прод
1. Читання документації
Авторизація, базовий URL, версіювання, ліміти (rate limit), формат помилок. 30 хвилин читання економить дні дебагу.
2. Ключі та секрети
Ключі — тільки в env/секрет-сховищі, ніколи в коді і на фронті. Роздільні ключі для dev/prod.
3. Таймаути і ретраї
Таймаут на кожен запит (5–15 с), експоненційний backoff на 5xx/429, максимум 3 спроби. Запит без таймаута вішає ваш сервіс.
4. Ідемпотентність
Повторний запит не має створити дублікат: використовуйте idempotency-key або унікальні зовнішні ID для операцій запису.
5. Вебхуки
Перевіряйте підпис вебхука, відповідайте 200 швидко (обробка — в чергу), зберігайте сирий payload для розбору збоїв.
6. Обробка помилок
Розрізняйте: помилка клієнта (4xx — ваша вина), сервера (5xx — їхня), мережі. Логуйте тіло відповіді при збої.
7. Ліміти провайдера
Квоти на день/місяць, вартість за запит. Додайте circuit-breaker, щоб «залипання» циклу не спалило бюджет.
8. Моніторинг
Метрики: успішність запитів, затримка, споживання квоти. Алерт при падінні успішності нижче порогу.
9. Fallback-режим
Що робить ваш сервіс, коли API лежить? Кеш, черга-повтор, деградація функції — продумайте до інциденту.
10. Зміна версій
Підпишіться на changelog провайдера, тримайте версію API в конфігурції, плануйте міграцію до sunset-дати.
Типові помилки