- API
- REST met JSON op api.loket.nl, versie 2. Elke resource heeft daarnaast een eigen versie per datum in de Accept-header. Nieuwere onderdelen, zoals de journaal-API, staan in aparte microservices met eigen documentatie. De oude SOAP-webservices zijn sinds 2021 uit.
- Authenticatie
- Alleen OAuth 2.0 met authorization code, met scope all. Geen wachtwoord-grant en geen andere automatische flow voor externe partijen. Een refresh token is meestal een jaar geldig en nu maar drie keer bruikbaar; sla steeds de nieuwste op.
- Rechten
- Twee lagen. De client van de softwarepartij krijgt van Loket alleen de activiteiten die de koppeling echt gebruikt; de gebruiker heeft rechten per werkgever, en die beheert de accountant of werkgever, niet Loket. Het token geeft toegang tot de API, niet tot Loket zelf.
- Testen
- Een acceptatieomgeving op api.loket-acc.nl met een beperkte set testdata. Na een goedgekeurde aanvraag krijg je een testgebruiker en een algemene testclient.
- Limieten
- Loket handhaaft nu geen expliciete limieten, maar volgt het gebruik en neemt contact op bij extreem gebruik. Lijsten geven standaard 250 regels per pagina.
- Webhooks
- Geen. Wijzigingen in vaste gegevens van dienstverbanden herken je aan versienummers; variabele gegevens vallen daar buiten en vraag je per periode op.
- Wijzigingen
- Loket kan de API zonder aankondiging wijzigen. Het streven is twee weken vooraf, en bij een nieuwe versie van een resource blijft de oude nog zes maanden werken; elk antwoord meldt een obsoleteDate.
- Toegang
- Een aanvraag begint commercieel, via het partnerformulier van Loket. Productie volgt pas na goedkeuring, gebruikersdocumentatie en een API-gebruikersovereenkomst via DocuSign; daarna volgen een demo aan het Loket-team en de publicatie van de koppeling.
- Hosting
- Microsoft Azure in Nederlandse datacenters, met een ISAE 3402 type II-verklaring sinds 2010.
- Bereik
- Loket noemt meer dan 145.000 werkgevers, 400 accountantskantoren en koppelingen met meer dan 100 applicaties.