Zugang und Autorisierung
Jede SP-API-Anwendung wird in einem Entwicklerprofil registriert und beantragt Rollen, etwa Inventory and Order Tracking oder Pricing. Die Rollen bestimmen, welche Operationen Sie aufrufen dürfen. Rollen mit Zugriff auf personenbezogene Käuferdaten wie Lieferadressen sind eingeschränkt und erfordern eine zusätzliche Freigabe.
Seller und Vendoren gewähren Ihrer Anwendung Zugriff über Login with Amazon (LWA). Pro Konto speichern Sie ein Refresh-Token und tauschen es gegen kurzlebige Access-Tokens. Behandeln Sie Refresh-Tokens wie Passwörter: verschlüsselt speichern und nie in Logs schreiben.
Ratenlimits prägen die Architektur
Jede Operation hat einen eigenen Usage Plan: eine Dauerrate und ein Burst-Kontingent. Wer darüber liegt, erhält HTTP 429. Manche Operationen passen Limits pro Selling Partner an; die Antwort-Header nennen die aktuelle Rate.
- Jeden Aufruf hinter eine Queue mit Limiter pro Konto und Operation stellen.
- 429- und 5xx-Antworten mit exponentiellem Back-off und Jitter wiederholen, nie in einer engen Schleife.
- Schreibvorgänge idempotent machen, damit ein wiederholter Feed oder ein Update nicht doppelt wirkt.
Reports, Feeds und Live-Aufrufe
Nicht jede Frage braucht einen Live-Aufruf. Die Reports API erzeugt Massendateien (zum Beispiel alle Listings, Abrechnungen oder FBA-Bestand) asynchron: Report anfordern, warten bis er fertig ist, dann das Dokument herunterladen. Feeds API und Listings Items API übernehmen Massen- und Einzelschreibvorgänge.
Eine gute Regel: Reports für Historie und Massendaten, Live-Aufrufe für die wenigen Dinge, die minutengenau stimmen müssen, etwa eine einzelne Bestellung vor dem Versand.
Notifications statt Polling
Die Notifications API sendet Ereignisse wie Änderungen am Bestellstatus, Preisänderungen oder fertige Reports an eine Amazon-SQS-Queue oder an Amazon EventBridge. Abonnements ersetzen den Großteil des Pollings, sparen Ratenlimit für die Aufrufe, die es brauchen, und machen die Integration reaktionsschneller.
Personenbezogene Daten und Compliance
Amazons Data Protection Policy und Acceptable Use Policy gelten für jede Integration. Personenbezogene Käuferdaten gibt es nur mit einem Restricted Data Token für die jeweilige Operation; sie dürfen nur so lange gespeichert werden wie nötig (in der Regel für Versand und Steuern) und müssen im Ruhezustand verschlüsselt sein.
Betrieb in Produktion
Protokollieren Sie jede Anfrage mit Operation, Konto und Amazon-Request-ID. Alarmieren Sie bei steigenden 429-Raten, fehlgeschlagenen Reports und Queues, die sich nicht mehr leeren. Verfolgen Sie den Deprecation-Plan der SP-API: Amazon schaltet ältere API-Versionen zu angekündigten Terminen ab, und wer einen verpasst, hat an diesem Tag eine kaputte Integration.
Amazon hat außerdem Gebühren für SP-API-Entwickler von Drittanbieter-Anwendungen eingeführt. Prüfen Sie die aktuellen Bedingungen in der Entwicklerdokumentation, bevor Sie Kosten planen.