API לאתר: מה זה, איך מחברים ואיך בונים – מדריך בעברית

מה זה API, בשפה פשוטה

API (ראשי תיבות של Application Programming Interface, "ממשק תכנות יישומים") הוא סט כללים שמגדיר איך תוכנה אחת מבקשת מידע או פעולה מתוכנה אחרת. הוא לא דף שמיועד לבני אדם, אלא כתובת שמיועדת למכונות.

שלושה כיוונים של "API לאתר"

כשאומרים "חיבור API לאתר" מתכוונים בדרך כלל לאחד משלושה מצבים, וכדאי לדעת באיזה מהם אתם נמצאים:

המונחים שחייבים להכיר

אלה המילים שיחזרו בכל תיעוד, בכל הצעת מחיר ובכל שיחה עם מפתח. לרשימה מלאה יותר יש את מילון המונחים של האתר.

עוד שני מונחים שתפגשו: SDK היא ספרייה רשמית שהספק מפרסם כדי שלא תצטרכו לכתוב את הבקשות בעצמכם, ו-Sandbox (סביבת בדיקות) היא עותק של השירות עם כסף ונתונים מדומים. ספקי סליקה, למשל, מציעים בדרך כלל סביבה כזאת, ושם מתחילים.

לחבר API קיים לאתר: שלוש דרכים

לפני שמזמינים פיתוח, בדקו אם החיבור כבר קיים. בטופס ל-CRM, בתשלום באתר או בהתראה בוואטסאפ, בדרך כלל מישהו כבר בנה את הגשר.

דרך 1: בלי קוד, עם Zapier, Make או n8n

כלי אוטומציה הם "מתאמים אוניברסליים": הם כבר מחוברים ל-API של אלפי שירותים, ואתם רק בוחרים טריגר ופעולות. כשלשירות אין חיבור מוכן, משתמשים ב-webhook: הכלי נותן לכם כתובת ייחודית, ואתם מדביקים אותה בטופס, במערכת הסליקה או ב-CRM.

• טופס באתר
• webhook
• רישום ב-CRM
• הודעה לבעל העסק

• Zapier: הכי פשוט להתחלה. שימו לב ש-Webhooks by Zapier זמין רק בתוכניות Professional ומעלה, ולא בתוכנית החינמית.
• Make: מודול Custom webhook יוצר כתובת שמפעילה את התרחיש מיד כשמגיעה אליה בקשה.
• n8n: לצומת Webhook יש כתובת בדיקה וכתובת ייצור נפרדות, ואפשר לדרוש בו הזדהות (Basic, Header או JWT). כשצריך לקרוא ל-API שאין לו צומת מוכן, יש צומת HTTP Request.

מדריך מלא, כולל מתכונים ואבטחה, מחכה במדריך האוטומציות עם AI.

דרך 2: תוסף או אינטגרציה מוכנה בוורדפרס ובוויקס

רוב הספקים שעסקים ישראליים עובדים איתם, כמו חברות סליקה, מערכות דיוור ומערכות CRM, מפרסמים תוסף רשמי או מדריך חיבור. ספקי סליקה ישראליים כמו קארדקום וטרנזילה מפרסמים עמודים למפתחים. בתוסף אתם מדביקים את מפתח ה-API בהגדרות, והוא עושה את השאר.

דרך 3: קוד שרץ בצד השרת

כשאין תוסף, או כשרוצים שליטה מלאה, כותבים קוד קצר שקורא ל-API. הדוגמה הבאה שולפת את זמן הדלקת הנרות בתל אביב מ-Hebcal, שירות לוח שנה עברי עם API חינמי שלא דורש מפתח. התוכן שהוא מחזיר מופץ ברישיון CC BY 4.0, ולכן צריך לתת קרדיט.

קודם בודקים את ה-API בלי קוד בכלל. אפשר להדביק את הכתובת בדפדפן, או להריץ בטרמינל:

curl "https://www.hebcal.com/shabbat?cfg=json&geonameid=293397&M=on"

ואותה קריאה בקוד JavaScript שרץ בשרת עם Node.js:

// shabbat.mjs - runs on the server (Node.js 18+), not in the browser
const url = "https://www.hebcal.com/shabbat?cfg=json&geonameid=293397&M=on";

const res = await fetch(url);
if (!res.ok) throw new Error(`HTTP ${res.status}`);

const data = await res.json();
const candles = data.items.find((item) => item.category === "candles");
console.log(candles?.date); // e.g. 2026-10-02T18:04:00+03:00

מה קורה כאן: fetch שולח בקשת GET. res.ok בודק שקוד הסטטוס הוא 2xx. res.json() הופך את התשובה לאובייקט, ומתוך רשימת הפריטים (items) בוחרים את זה שהקטגוריה שלו היא הדלקת נרות.

ברוב ה-API העסקיים יש גם מפתח. הוא מגיע ממשתנה סביבה בשרת, לא מהקוד עצמו:

// The key comes from an environment variable on the server, never from the code
const res = await fetch("https://api.example.com/v1/orders", {
  headers: { Authorization: `Bearer ${process.env.EXAMPLE_API_KEY}` },
});

איך מחברים API לאתר: 7 צעדים

1. מגדירים מה צריך לקרות. משפט אחד: "כשמישהו משלם באתר, ההזמנה נרשמת ב-CRM והלקוח מקבל אישור". זה קובע אילו API צריך ובאיזה כיוון.
2. מחפשים חיבור מוכן. תוסף רשמי, אפליקציה בפלטפורמת האתר או אינטגרציה בכלי אוטומציה. רק אם אין, עוברים לקוד.
3. קוראים את התיעוד הרשמי. מחפשים את נקודות הקצה הרלוונטיות, שיטת ההזדהות, מגבלות הקצב, המחיר, ואם יש סביבת בדיקות (sandbox).
4. מפיקים מפתח ושומרים אותו בשרת. מפתח נפרד לבדיקות ולייצור, בהרשאות המינימליות. שומרים אותו במשתנה סביבה או במנהל סודות, לא בקוד ולא ב-Git.
5. שולחים בקשת בדיקה. עם curl, עם כלי כמו Postman או עם קוד קצר. בודקים את קוד הסטטוס ואת מבנה ה-JSON שחוזר.
6. מטפלים בשגיאות ובמגבלות. מה קורה כשהשירות לא זמין, כשהמפתח לא תקף, או כשחוזר 429? מציגים לגולש הודעה ברורה ומנסים שוב בהמתנה הולכת וגדלה.
7. עוברים לייצור ומנטרים. מחליפים למפתח הייצור, מגדירים תקרת הוצאה והתראות, ובודקים את היומנים (logs) בימים הראשונים.

לבנות API משלכם (יצירת API לאתר)

API משלכם צריך כשמישהו אחר צריך לקבל נתונים מהאתר או לשלוח אליו: אפליקציה שמציגה את הקטלוג, שותף שמושך מחירים או מערכת פנימית שמעדכנת מלאי. אם צריך רק להעביר נתונים בין שני שירותים קיימים, כנראה שאוטומציה תספיק.

הדוגמה הקטנה ביותר שעדיין שימושית: endpoint שמחזיר את שעות הפתיחה של העסק ב-JSON, כדי שאפליקציה, צ'אט או אתר נוסף יציגו תמיד את אותו מידע.

<?php
// api/hours.php - a tiny read-only JSON endpoint
header('Content-Type: application/json; charset=utf-8');

if ($_SERVER['REQUEST_METHOD'] !== 'GET') {
    http_response_code(405);
    header('Allow: GET');
    echo json_encode(['error' => 'Method not allowed']);
    exit;
}

$hours = [
    'sun_thu' => '09:00-18:00',
    'fri'     => '09:00-13:00',
    'sat'     => null,
];

echo json_encode(['ok' => true, 'hours' => $hours]);

בקשת GET לכתובת /api/hours.php תחזיר:

{"ok":true,"hours":{"sun_thu":"09:00-18:00","fri":"09:00-13:00","sat":null}}

ברגע שה-API מקבל נתונים (POST) או מחזיר מידע שאינו ציבורי, נכנסים שלושה דברים שאין בדוגמה: הזדהות, בדיקת קלט והגבלת קצב. פירוט ברשימת האבטחה. עוד שני הרגלים טובים: לשים מספר גרסה בכתובת (/v1/) כדי שאפשר יהיה לשנות בלי לשבור, ולכתוב תיעוד, אפילו עמוד אחד, בנוסח של תיעוד ה-API שלנו.

חיבור מודל AI לאתר (OpenAI, Gemini, Claude)

צ'אט באתר, סיכום פניות או כתיבת תיאורי מוצרים: כולם עובדים דרך ה-API של ספק המודל. חשוב לדעת שמנוי לצ'אט (כמו ChatGPT Plus) הוא דבר נפרד מה-API. ב-API משלמים לפי שימוש, לפי כמות הטקסט שנכנסת ויוצאת (tokens), וכל גולש באתר מגדיל את החשבון.

• הגולש שואל
• ה-endpoint שלכם בודק ומגביל
• ספק ה-AI
• תשובה לגולש

הדפדפן אף פעם לא מדבר ישירות עם ספק ה-AI. הוא פונה לכתובת שלכם, והקוד שלכם מוסיף את המפתח, מגביל את השאלה ומחזיר רק את התשובה. כך זה נראה כ-Cloudflare Worker שקורא ל-Claude:

// Cloudflare Worker: POST {"question": "..."} -> {"answer": "..."}
// The key lives in a Worker secret: npx wrangler secret put ANTHROPIC_API_KEY
const MODEL = "claude-sonnet-5"; // check current models and prices in the docs

export default {
  async fetch(request, env) {
    if (request.method !== "POST") {
      return new Response("Method not allowed", { status: 405 });
    }

    let body;
    try {
      body = await request.json();
    } catch {
      return Response.json({ error: "Invalid JSON" }, { status: 400 });
    }

    const question = String(body.question ?? "").trim();
    if (!question || question.length > 1000) {
      return Response.json({ error: "question: 1-1000 chars" }, { status: 400 });
    }

    const res = await fetch("https://api.anthropic.com/v1/messages", {
      method: "POST",
      headers: {
        "content-type": "application/json",
        "x-api-key": env.ANTHROPIC_API_KEY,
        "anthropic-version": "2023-06-01",
      },
      body: JSON.stringify({
        model: MODEL,
        max_tokens: 1024, // caps the length (and cost) of each answer
        system: "Answer questions about our business only. Reply in Hebrew, briefly.",
        messages: [{ role: "user", content: question }],
      }),
    });

    if (!res.ok) {
      console.log("AI API error", res.status); // log the status, not the user's text
      return Response.json({ error: "AI service unavailable" }, { status: 502 });
    }

    const data = await res.json();
    const answer = data.content.find((block) => block.type === "text")?.text ?? "";
    return Response.json({ answer });
  },
};

שימו לב לשלושה דברים בקוד: המפתח מגיע מ-env ולא מהדפדפן, אורך השאלה מוגבל, ו-max_tokens מגביל את אורך התשובה. אצל OpenAI ו-Gemini המבנה זהה, ורק הכתובת, כותרת ההזדהות ומבנה הגוף משתנים:

איך שומרים על החשבון

• תקרת הוצאה אצל הספק, והתראה לפניה. זו רשת הביטחון אם המפתח דולף.
• הגבלת קצב משלכם: מספר שאלות לגולש או לכתובת IP בפרק זמן. בלי זה, בוט אחד יכול לרוקן את התקציב.
• מודל מתאים למשימה: מודלים קטנים זולים ומהירים יותר ומספיקים לשאלות נפוצות.
• תשובות מוכנות לשאלות חוזרות: שעות פתיחה ומחירון לא צריכים לעבור במודל.
• הנחיות קצרות וגבולות ברורים: הבוט עונה רק על העסק. גולשים ינסו לגרום לו לעשות דברים אחרים (prompt injection), ולכן אל תחברו אותו לפעולות רגישות בלי אישור אנושי.

מחברים בוט AI לוואטסאפ? Meta אוסרת מ-15.1.2026 צ'טבוטים כלליים מבוססי LLM בפלטפורמה העסקית שלה. בוט שממוקד בשירות, בהזמנות ובתורים ממשיך להיות מותר. פירוט במדריך האוטומציות.

רשימת אבטחה ופרטיות

ברשימת OWASP API Security Top 10 מ-2023, שלושה מתוך חמשת הסיכונים הראשונים קשורים להרשאות. הראשון שבהם הוא המקרה הקלאסי: משתמש שמקבל נתונים של משתמש אחר רק כי שינה מספר בכתובת. לכן הרשימה מתחילה במפתחות ובהרשאות.

• מפתחות: רק בשרת, במשתנה סביבה או במנהל סודות. לא בקוד, לא ב-Git ולא בצילום מסך. מפתח נפרד לכל סביבה ולכל מערכת, בהרשאות מינימליות, ומחליפים מיד כשיש חשד לדליפה.
• HTTPS בלבד: גם לבקשות שלכם וגם לכתובות webhook שאתם מפרסמים.
• הזדהות והרשאה: לא מספיק לבדוק "מי אתה". בכל בקשה בודקים גם שמותר לו לגשת לרשומה המסוימת.
• בדיקת קלט: כל שדה נבדק בשרת: סוג, אורך וטווח. גם אם בדקתם בטופס.
• הגבלת קצב: מגבלה לכל מפתח או כתובת IP. החזירו 429, ואם אפשר גם Retry-After.
• CORS: אם הדפדפן צריך לקרוא ל-API שלכם, התירו רק את הדומיין שלכם. כוכבית (*) מתאימה רק לנתונים ציבוריים לגמרי. זכרו ש-CORS לא מחליף הזדהות, כי הוא נאכף רק בדפדפן.
• Webhooks: אמתו חתימה או סוד משותף כשהספק מציע, וודאו שעיבוד כפול של אותה הודעה לא יחייב פעמיים.
• יומנים בלי מידע אישי: רשמו זמן, נקודת קצה, קוד סטטוס ומזהה בקשה. אל תרשמו מפתחות, מספרי כרטיס, תעודות זהות או תוכן שיחות.
• הודעות שגיאה כלליות: לגולש כותבים "משהו השתבש". הפרטים נכנסים ליומן, לא לתשובה.

ומה עם החוק בישראל?

תיקון 13 לחוק הגנת הפרטיות, שאושר בכנסת ב-5.8.2024, נכנס לתוקף ב-14.8.2025. לפי המדריך של הרשות להגנת הפרטיות, התיקון מרחיב את סמכויות האכיפה של הרשות, כולל עיצומים כספיים, גם על הפרות של תקנות אבטחת המידע. בפועל, לפני שמחברים API שמעביר מידע אישי (לידים, לקוחות, שיחות) לשירות חיצוני, כדאי לשאול:

• אילו שדות באמת צריך להעביר? פחות מידע פירושו פחות סיכון.
• מה הספק עושה במידע, כמה זמן שומר אותו, והאם הוא משמש לאימון מודלים?
• האם מדיניות הפרטיות של האתר מתארת את השימוש הזה?
• מי מקבל התראה, ומה עושים, אם מפתח דולף?

זה מידע כללי ולא ייעוץ משפטי. כשמעבירים מידע רגיש, כמו מידע רפואי או פיננסי, התייעצו עם עורך דין שמתמחה בפרטיות.

כמה זה עולה ומי מבצע

אין מחיר אחד ל"פיתוח API לאתר". מה שקובע את העלות הוא היקף העבודה, ואת רוב המרכיבים אפשר לזהות מראש:

• זמן פיתוח: חיבור עם תוסף מוכן לוקח שעות. אינטגרציה עם לוגיקה, הרשאות וטיפול בשגיאות לוקחת הרבה יותר.
• עלות השירות עצמו: מנוי לכלי אוטומציה, עמלות סליקה, או תשלום לפי שימוש ב-API של AI.
• אחסון והרצה: לפונקציות serverless יש לרוב מכסה חינמית, ומעבר לה משלמים לפי שימוש.
• תחזוקה: ספקים מעדכנים גרסאות, מפתחות צריך להחליף, ומשהו תמיד נשבר. שאלו מראש מי מתקן, ובאיזה מחיר.

שאלות לכל מי שמציע לבנות לכם API: איפה יישמרו המפתחות? מה קורה כשהשירות החיצוני נופל? האם הקוד והחשבונות רשומים על שמכם? מה עלות התחזוקה? תשובה מעורפלת היא סימן אזהרה.

טעויות נפוצות

• מפתח בקוד של הדפדפן

  הטעות היקרה ביותר. כל גולש יכול להעתיק את המפתח ולהשתמש בו על חשבונכם.

• מפתח ב-Git

  גם במאגר פרטי. מאגרים הופכים לציבוריים, ומפתחות נשארים בהיסטוריה גם אחרי שמוחקים אותם מהקובץ.

• בלי תקרת הוצאה

  לולאה שנתקעה או בוט שמציף את הצ'אט יכולים לייצר חשבון גדול לפני שמישהו שם לב.

• בדיקות על סביבת הייצור

  עסקאות אמיתיות, הודעות שנשלחות ללקוחות אמיתיים. התחילו ב-sandbox.

• אין טיפול בשגיאות

  השירות החיצוני ייפול מתישהו. בלי טיפול, הגולש רואה מסך לבן והליד הולך לאיבוד.

• כתובת בדיקה בייצור

  ב-n8n, למשל, כתובת הבדיקה של webhook עובדת רק כשמאזינים לה בעורך. אם היא זו שהודבקה בטופס, הטופס נשלח ואף אחד לא מקבל אותו.

• להעביר יותר מידע ממה שצריך

  שולחים את כל פרטי הלקוח ל-AI כדי לסכם פנייה? שלחו רק את הטקסט הדרוש, בלי מזהים.

הבהרה ומקורות

"רשמי" הוא תיעוד של הספק, של גוף תקינה או של רגולטור. המקורות נבדקו בספטמבר 2026.