APIs REST para integraciones de ecommerce: autenticación, límites y errores

Casi todas las integraciones de una tienda hablan con APIs REST: la del ERP, la de la pasarela, la del transportista, la de la propia tienda. Estas pautas evitan la mayoría de problemas.

Autenticación

• Claves de API: sencillas. Guárdalas fuera del código (configuración cifrada, variables de entorno) y una por integración.
• OAuth2: tokens que caducan. Renueva el token antes de que caduque y maneja el error 401 renovando y reintentando una vez.
• Nunca envíes credenciales por HTTP sin cifrar ni en la URL.

Paginación y filtros

No pidas «todos los pedidos». Pide los modificados desde la última sincronización, en páginas. Guarda la marca de tiempo de la última sincronización correcta, no la de la última intentada.

Límites de peticiones

La mayoría de APIs limitan cuántas peticiones puedes hacer por minuto. Cuando lo superas, responden 429. Respeta la cabecera Retry-After y espera con un retraso creciente.

for ($intento = 0; $intento < 5; $intento++) {
    $r = llamar($url);
    if ($r->status !== 429 && $r->status < 500) {
        break;
    }
    sleep(min(60, 2 ** $intento));
}

Errores

• 4xx: el error es tuyo (datos mal formados, sin permiso). No reintentes sin corregir.
• 5xx y tiempos de espera: reintenta con espera.
• Registra la petición y la respuesta (sin datos sensibles) de cada error.