- API
- REST met JSON. Elk account heeft een eigen subdomein, dus een eigen basis-URL (https://<account>.picqer.com/api/v1/). Alleen v1 is actief; een wijziging die niet terugwaarts werkt, krijgt een nieuwe v2-URL.
- Authenticatie
- HTTP Basic met de API-sleutel als gebruikersnaam; OAuth is er niet. Elke aanroep moet een User-Agent meesturen met de naam van de koppeling en een website of e-mailadres.
- Sleutels
- Alleen een beheerder maakt een sleutel, onder Instellingen, API keys. Hij wordt één keer getoond, en intrekken stopt de koppeling direct.
- Afscherming
- Een sleutel kan niet alleen-lezen zijn. De enige beperking is een sleutel voor één fulfilmentklant; elke andere sleutel heeft toegang tot de hele API.
- Limieten
- 500 verzoeken per minuut per sleutel, door Picqer bij drukte aan te passen; de actuele waarde staat in de X-RateLimit-headers. Daarboven volgt HTTP 429 en wordt het verzoek genegeerd. Lijsten geven 100 resultaten per keer, met offset voor de volgende.
- Webhooks
- Met een secret ondertekend met HMAC-SHA256 in de header X-Picqer-Signature. Je endpoint antwoordt binnen 10 seconden; anders volgen 15 pogingen in ongeveer 17 uur. Na 5 volledig mislukte meldingen binnen 24 uur zet Picqer de webhook uit; sinds februari 2026 kun je hem via de API weer aanzetten.
- IP-adressen
- Hier spreken twee hulpartikelen van Picqer elkaar tegen: het artikel over de API noemt vaste IP-adressen voor webhooks, het artikel over IP-adressen zegt dat ze steeds wisselen en dat je webhooks nooit op IP moet filteren. Ik controleer daarom de handtekening en filter niet op IP.
- Testen
- Er is geen aparte sandbox. Support zet een gewoon account om naar een gratis ontwikkelaarsaccount dat niet verloopt, op verzoek met testdata en de fulfilmentversie. Printen is daarin niet te testen.
- Kosten van de API
- De API zit zonder meerprijs in elk abonnement. Picqer rekent per maand, met een pakket naar het aantal bestellingen: het kleinste webwinkelpakket, Team, kost €379 per maand inclusief 3.000 bestellingen. Of dat in- of exclusief btw is, staat niet op de prijspagina.
- Boekhouding
- Picqer maakt zelf geen facturen. Moneybird is vooral bedoeld voor orders die in Picqer ontstaan, Twinfield werkt alleen met Twinfield Classic, en de eigen Exact Online-integratie is niet meer nieuw af te sluiten: Picqer verwijst naar de integratie van xCore.
- Anonimiseren
- Orders zijn via de API te anonimiseren. De API-documentatie zegt: orders ouder dan 7 dagen; het artikel over gegevensbeveiliging zegt: orders die meer dan 7 dagen geleden zijn verzonden.
- Gegevens
- Picqer bewaart de applicatie en de gegevens binnen de EER, grotendeels bij AWS en deels bij DigitalOcean. Iedere klant tekent de standaard verwerkersovereenkomst; een aangepaste versie kan niet.
- AI-assistenten
- Een eigen MCP-server, sinds 9 september 2026 in publieke bèta, gekoppeld met een API-sleutel. Onomkeerbare acties zoals orders verwerken, picklijsten afsluiten en zendingen aanmaken zijn er bewust niet mee mogelijk.
- PHP-client
- Picqer onderhoudt zelf een PHP-client, het Composer-pakket picqer/api-client.