Kurzlink-APIs im Vergleich: Was Entwickler 2026 bekommen

Jeder Kurzlink-Dienst verkauft dieselbe Demo: lange URL einfügen, kurze zurückbekommen. Der Unterschied zwischen ihnen zeigt sich drei Wochen später, wenn ein Queue-Worker zehntausend Links pro Stunde anlegt, ein Webhook-Empfänger stillschweigend Wiederholungen verschluckt und jemand fragt, warum sich die Klickdaten des Vormonats nicht mit dem CRM verbinden lassen. Dieser Vergleich handelt von dieser Phase und nicht von der Demo.

Es folgen die Achsen, an denen sich entscheidet, ob eine API die Berührung mit dem Produktivbetrieb übersteht, was die wichtigsten Anbieter der Kategorie auf jeder dieser Achsen tatsächlich liefern, und lauffähige Beispiele gegen die LinkProfit-API. Das Verhalten der Wettbewerber beschreiben wir in Prosa statt in erfundenen Codebeispielen: Die Form der Anfragen ändert sich, und ein kopierter Schnipsel, der nicht mehr durchläuft, ist schlimmer als ein Satz, der erklärt, was der Endpunkt tut.

Warum die API für manche Käufer das Produkt ist

Es gibt zwei Arten von Shortener-Kunden. Die eine loggt sich in ein Dashboard ein, legt Links von Hand an und liest Diagramme. Die andere öffnet das Dashboard überhaupt nie: Die Links entstehen in ihrer eigenen Software, im Auftrag ihrer eigenen Nutzer, und die Klickdaten fließen in ihr eigenes Data Warehouse. Für die zweite Art ist das Dashboard ein Debugging-Werkzeug und die API das ganze Produkt.

Diese Unterscheidung erklärt den größten Teil der Enttäuschung in dieser Kategorie, und sie ist der Grund, warum das Einbetten von Kurzlinks in ein SaaS-Produkt ein anderer Kauf ist als der eines Marketingwerkzeugs. Anbieter, die auf den ersten Käufer hin optimieren, behandeln die API als Häkchen auf der Preisseite: Es gibt sie, sie ist dünn dokumentiert, sie sitzt hinter einer oberen Stufe, und sie deckt das Anlegen von Links ab, aber nicht Domains, Analytics oder Webhooks. Wenn Sie das Kürzen in ein Produkt einbetten, ist genau diese Lücke der Unterschied zwischen Ausliefern und Neuschreiben.

Die Achsen, auf die es wirklich ankommt

Authentifizierung und Schlüsselbereich

Die Grundlage ist ein Bearer-Token. Was die Implementierungen unterscheidet, ist die Frage, was ein abhandengekommener Token anrichten kann. Ein einzelner kontoweiter Schlüssel, der jeden Link löschen darf, ist ein Risiko — erst recht, wenn Ihre Integration Links nur anlegen muss. Achten Sie auf Schlüssel, die an einen Workspace statt an ein Konto gebunden sind, auf Rechte am Schlüssel statt an der Person, die ihn erstellt hat, auf gehashte Speicherung mit einmaliger Anzeige beim Anlegen und auf unabhängige Rotation, damit Sie je Dienst einen Schlüssel ausgeben und einen davon ohne Ausfall widerrufen können.

Rate-Limits und das Verhalten an der Obergrenze

Zwei Angaben zählen, und selten sind beide veröffentlicht: das Dauerlimit und was passiert, wenn Sie es überschreiten. Eine wohlerzogene API antwortet mit 429, sagt Ihnen, wann Sie es erneut versuchen sollen, und weist das Restkontingent in jeder Antwort aus, sodass ein Client sich selbst drosseln kann, bevor er zu scheitern beginnt. Eine API, die unter Last ein generisches 500 zurückgibt oder Schreibvorgänge stillschweigend verwirft, zwingt Sie dazu, einen konservativen Drosselmechanismus um bloße Vermutungen herum zu bauen.

Die Form des Zeitfensters wiegt so schwer wie seine Größe. Eine Sekundengrenze und ein gleitendes Minutenfenster mit demselben Durchschnittsdurchsatz verhalten sich bei stoßweiser Last völlig verschieden — und stoßweise Last ist genau das, was die meisten Integrationen erzeugen: Eine Kampagne geht live, fünftausend Links entstehen in neunzig Sekunden, und den Rest des Tages liegt die Warteschlange still.

Massenoperationen

Links einzeln per HTTP-Anfrage anzulegen ist bei Hunderten in Ordnung und bei Hunderttausenden eine Qual. Ein Massen-Endpunkt, der ein Bündel entgegennimmt und ein Ergebnis je Eintrag zurückgibt, samt Teilfehlern mit dem Index des gescheiterten Eintrags, macht aus einem Nachtlauf ein paar Minuten. Zu prüfen ist die Fehlersemantik: ob eine einzige ungültige URL das ganze Bündel abweist, und ob die Wiederholung eines teilweise angewendeten Bündels Dubletten erzeugt.

Analytics über die API

Fast jeder Anbieter zeigt Klickdiagramme in seinem Dashboard. Deutlich weniger lassen Sie dieselben Zahlen programmatisch in der Granularität abrufen, die Sie brauchen — und genau hier verstecken sich die Limits einzelner Tarife. Verlangen Sie drei Dinge: aggregierte Übersichten, Zeitreihen mit wählbarer Granularität und Aufschlüsselungen nach Dimensionen wie Land, Stadt, Gerät, Browser, Quelle und Kampagnenparametern. Fragen Sie danach nach der Aufbewahrung, nach Obergrenzen für Exporte und danach, ob die Events, die auf Ihren Tarif angerechnet werden, dieselben sind, die die API zurückgibt. Die Messfragen darunter, Bot-Filterung und die Zählung eindeutiger Besucher im Besonderen, behandelt unser Leitfaden zum Erfassen von Linkklicks.

Rebrandly ist das deutlichste Beispiel dafür, warum das zählt. Die Weiterleitungen sind unbegrenzt, die Analytics selbst werden aber als Interaktionsdaten gemessen und je nach Stufe bei 100, 10.000, 25.000 und 150.000 Events pro Monat gedeckelt, Stand August 2026. Ein Link, der weiterleitet und dabei aufhört zu melden, ist ein sehr konkretes Fehlerbild, das Sie vor der Wahl einpreisen sollten.

Webhooks und Zustellgarantien

Zustandsänderungen abzufragen ist der Weg, auf dem Integrationen langsam und teuer werden. Webhooks ersetzen das, und ihre Qualität hängt an vier Eigenschaften: welche Ereignisse ausgelöst werden, ob die Nutzdaten signiert sind, wie der Wiederholungsplan aussieht und was nach der letzten Wiederholung passiert. Die Signaturprüfung sollte über den rohen Körper laufen und einen Zeitstempel enthalten, damit eine Wiedereinspielung ausgeschlossen ist. Wiederholungen sollten sich über Stunden statt über Minuten erstrecken, damit ein Deploy-Fenster Sie keine Ereignisse kostet. Und der Anbieter sollte Ihnen mitteilen, wenn ein Endpunkt als gestört markiert wurde, statt Ereignisse stillschweigend zu verwerfen.

SDKs, Spezifikation und Dokumentation

Ein offizielles SDK spart einen Arbeitstag; eine maschinenlesbare OpenAPI-Spezifikation spart denselben Tag in jeder Sprache, die das SDK nicht abdeckt, und spart ihn weiter, während sich die API entwickelt. Short.io liefert vier SDKs aus, Stand August 2026 die breiteste offizielle Abdeckung der Kategorie. Die veröffentlichte Spezifikation ist das haltbarere Gut, denn aus ihr entstehen Clients, Mocks und Vertragstests.

Fehler, Pagination und Versionierung

Drei unspektakuläre Eigenschaften, die die Wartungskosten bestimmen. Fehler sollten maschinenlesbar sein, mit einem stabilen Code getrennt von der Meldung für Menschen, damit Ihre Wiederholungslogik auf den Code verzweigt statt auf Zeichenkettenvergleiche. Die Pagination sollte auf Cursorn beruhen; eine Pagination über Offsets auf einer Tabelle, in die geschrieben wird, überspringt und dupliziert Zeilen. Und die Version gehört sichtbar in den Pfad, nach der Veröffentlichung eingefroren, mit Breaking Changes unter einem Nachfolger.

Was die Anbieter liefern

| Anbieter | API-Verfügbarkeit | Veröffentlichtes Rate-Limit | Offizielle SDKs | Wichtige Einschränkung | | --- | --- | --- | --- | --- | | Short.io | Alle Tarife inklusive Free | 50 Anfragen pro Sekunde, mehr im Blockverkauf | Vier | Kein White-Label-Dashboard, Teams nur in Enterprise | | Dub | Kernprodukt, quelloffene Codebasis | Nicht als Schlagzeilenzahl veröffentlicht | Ja | Partner-White-Labeling erst in der 300-USD-Stufe | | Rebrandly | Bezahlstufen, Funktionen nach Tarif gestaffelt | Nicht als Schlagzeilenzahl veröffentlicht | Ja | Analytics als Interaktions-Events gemessen | | Replug | Nur Agency-Tarif, 99 USD pro Monat | Nicht veröffentlicht | Nein | API in niedrigeren Stufen nicht prüfbar | | Shlink, selbst betrieben | Vollständig, quelloffen | Selbst zu konfigurieren | Community | Auf einen Mandanten ausgelegt, keine Abrechnung | | LinkProfit | Ab dem Growth-Tarif | 600 Anfragen pro Minute je Workspace-Schlüssel | Aus der Spezifikation erzeugte Clients | Geteilter API-Hostname in Version 1 |

Alle Tarif- und Preisangaben oben haben den Stand August 2026.

Short.io: der Maßstab beim Volumen

Short.io ist der Angreifer der Kategorie bei Preis und Durchsatz. Die API ist in jedem Tarif verfügbar, das veröffentlichte Limit liegt unabhängig von der Stufe bei 50 Anfragen pro Sekunde, und zusätzliche Kapazität wird in Blöcken von 50 Anfragen pro Sekunde für 50 USD pro Monat verkauft. Dazu kommen vier SDKs und eine echte Dokumentationsseite für Entwickler, und eigene Domains mit automatischen Zertifikaten sind ab dem kostenlosen Tarif aufwärts enthalten.

Die Einschränkungen liegen anderswo im Produkt und nicht in der API: Was dort „white label“ heißt, ist Branding auf den Links und kein umbrandbares Dashboard, mehrere Teams gibt es nur in Enterprise, und die Unterstützung für Retargeting-Pixel deckt lediglich zwei Netzwerke ab. Brauchen Sie diese Dinge, hilft unser Vergleich der Short.io-Alternativen.

Dub: die API-first-Referenz

Dub ist der Maßstab der Kategorie bei Gestaltung und Developer Experience, mit quelloffenem Kern und einem Produkt, das API-first statt dashboard-first gebaut wurde. Wenn Sie ein Vorbild dafür suchen, wie gut in diesem Feld aussieht, lesen Sie deren Dokumentation, bevor Sie Ihre eigenen Anforderungen an die Integration schreiben.

Zwei Klarstellungen lohnen sich, weil die Benennung Verwirrung stiftet. Dub Partners ist Infrastruktur für Affiliate-Programme, die Dub seinen eigenen Kunden anbietet, und kein Weg, Dub selbst weiterzuverkaufen; das White-Labeling dafür sitzt Stand August 2026 in der Advanced-Stufe für 300 USD pro Monat. Das eigene Affiliate-Programm zahlt ein Jahr lang 30 Prozent eines Verkaufs, ist also eine Empfehlungsvereinbarung und kein Reseller-Modell.

Rebrandly und Replug: die API als Upselling-Hebel

Beide sperren den Entwicklerzugang hinter höhere Stufen, auf jeweils eigene Weise. Die API von Replug gibt es Stand August 2026 nur im Agency-Tarif für 99 USD pro Monat, 79 USD bei jährlicher Abrechnung, was bedeutet: Günstig prüfen lässt sich die Integration nicht. Rebrandly staffelt Funktion für Funktion statt mit einer einzigen Mauer: Deeplinks erscheinen erst in Growth, Retargeting-Pixel ab Professional, und die oben beschriebenen Obergrenzen für Interaktionsdaten gelten für die Analytics in jeder Stufe.

Beides ist nicht ungewöhnlich, und beides ist tragfähig, wenn Sie ohnehin oberhalb der Schwelle sitzen. Für eine Bewertung zählt die Ehrlichkeit beim Budget: Die Stufe, die Sie für die API brauchen, ist die Stufe, die Sie tatsächlich kaufen — und nicht die aus der Vergleichstabelle, mit der Sie angefangen haben.

Eigenbetrieb und Open Source

Wenn Sie einen internen Shortener ohne Abrechnung und mit einem einzigen Mandanten brauchen, ist Shlink die stärkste Option: MIT-lizenziert, PHP, wirklich API-first, mit einem ausgereiften Ökosystem an Clients. Seine Annahmen treten zutage, sobald Sie andere Leute bedienen wollen. Slugs sind über die gesamte Instanz hinweg eindeutig statt je Domain, die Rollen der API-Schlüssel kommen echter Mandantentrennung nicht nahe, und die QR-Erzeugung ist in Version 5 entfallen. Kutt unterstützt ein Rebranding über ein Anpassungsverzeichnis, hat sich aber deutlich verlangsamt, mit 16 Commits im gesamten Jahr 2026 und ohne Teams, Webhooks und Mandantenfähigkeit. YOURLS ist von der Anlage her ein Administrator und eine Domain.

LinkProfit

Unser Entwurf zielt auf die zweite Art von Käufer, die eingangs beschrieben wurde. Schlüssel werden je Workspace oder je Partner ausgegeben, tragen ausdrückliche Rechte, werden einmal angezeigt und als SHA-256-Hash gespeichert. Das Standardlimit liegt bei 600 Anfragen pro Minute für einen Workspace-Schlüssel und 1.200 für einen Partner-Schlüssel, durchgesetzt über ein gleitendes Fenster, mit X-RateLimit-Limit, X-RateLimit-Remaining und X-RateLimit-Reset in jeder Antwort und Retry-After bei einem 429. Die Massenanlage nimmt bis zu 100 Links pro Aufruf entgegen. Analytics ist vollwertiger Teil der API und keine reine Dashboard-Angelegenheit: Übersicht, Zeitreihe, Aufschlüsselungen nach Dimensionen und ein streamender CSV-Export bis 100.000 Zeilen. Webhooks werden signiert und über rund zwölf Stunden fünfmal wiederholt. Die Spezifikation entsteht aus denselben Schemas, die die Anfragen validieren, die Dokumentation kann also nicht von der Implementierung abdriften.

Der API-Zugang beginnt im Growth-Tarif, derselben Stufe, die auch eine eigene Dashboard-Domain freischaltet; die vollständige Übersicht steht auf der Preisseite. Die ehrliche Einschränkung in Version 1: Die API wird von einem geteilten Hostnamen ausgeliefert, White-Label-Partner dokumentieren sie ihren Kunden also als eigene API, ohne dass sie auf deren eigener Domain liegt. Das steht auf der Roadmap und wird nicht verschwiegen.

Arbeiten mit der LinkProfit-API

Einen Link anlegen

curl -X POST https://api.linkprofit.com/v1/links \
  -H "Authorization: Bearer lp_live_xxxxxxxxxxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "url": "https://example.com/spring-collection",
    "slug": "spring",
    "domain_id": "dom_7Kq2f9",
    "expires_at": "2026-10-01T00:00:00Z"
  }'

Schreibvorgänge bündeln

Der Massen-Endpunkt nimmt bis zu 100 Links pro Aufruf entgegen und liefert ein Ergebnis je Eintrag, ein Teilfehler benennt also den schuldigen Eintrag, statt das ganze Bündel abzuweisen.

const response = await fetch('https://api.linkprofit.com/v1/links/bulk', {
  method: 'POST',
  headers: {
    Authorization: `Bearer ${process.env.LINKPROFIT_API_KEY}`,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    links: batch.map((row) => ({ url: row.destination, slug: row.code, domain_id: domainId })),
  }),
});

if (response.status === 429) {
  const waitSeconds = Number(response.headers.get('retry-after') ?? '1');
  await new Promise((resolve) => setTimeout(resolve, waitSeconds * 1000));
}

Analytics zurücklesen

Aufschlüsselungen nehmen einen Dimensionsparameter entgegen, was die Oberfläche klein und vorhersagbar hält, statt je Diagramm einen eigenen Endpunkt zu ergänzen.

curl -G https://api.linkprofit.com/v1/analytics/breakdown \
  -H "Authorization: Bearer lp_live_xxxxxxxxxxxxxxxx" \
  -d dimension=city \
  -d date_from=2026-07-01 \
  -d date_to=2026-07-31

Die verfügbaren Dimensionen decken Land, Stadt, Gerät, Browser, Betriebssystem, Quelle und die drei wichtigsten Kampagnenparameter ab, was genügt, um die Zahlen des Dashboards in Ihrem eigenen Reporting nachzubilden.

Einen Webhook prüfen

Ereignisse tragen X-LinkProfit-Signature in der Form t=timestamp,v1=hex. Signiert werden der Zeitstempel, ein Punkt und der rohe Anfragekörper — die Prüfung muss also vor jedem JSON-Parsen stattfinden, das ihn neu serialisieren könnte.

import { createHmac, timingSafeEqual } from 'node:crypto';

export function isValidSignature(rawBody, header, secret) {
  const fields = new Map(header.split(',').map((pair) => pair.split('=')));
  const timestamp = Number(fields.get('t'));
  // Reject anything outside a five minute window to limit replay.
  if (!Number.isFinite(timestamp) || Math.abs(Date.now() / 1000 - timestamp) > 300) return false;

  const expected = createHmac('sha256', secret).update(`${timestamp}.${rawBody}`).digest('hex');
  const received = Buffer.from(fields.get('v1') ?? '', 'hex');
  const computed = Buffer.from(expected, 'hex');
  return received.length === computed.length && timingSafeEqual(received, computed);
}

Fehlgeschlagene Zustellungen werden nach einer Minute, fünf Minuten, dreißig Minuten, zwei Stunden und zwölf Stunden wiederholt. Nach dem letzten Versuch gilt der Endpunkt als gestört und der Kontoinhaber bekommt eine E-Mail — ein defekter Empfänger meldet sich also als Benachrichtigung und nicht als Datenlücke, die einen Monat später auffällt.

Eine API an einem Nachmittag bewerten

1. Legen Sie einen Schlüssel im günstigsten Tarif mit API-Zugang an und halten Sie fest, ob Sie diesen Tarif ohnehin kaufen würden.
2. Legen Sie einen Link an, lesen, ändern und löschen Sie ihn, und prüfen Sie, ob die Antworten Rate-Limit-Header tragen.
3. Überschreiten Sie das Limit absichtlich und vergewissern Sie sich, dass ein 429 mit Wiederholungshinweis zurückkommt und kein generischer Fehler.
4. Schicken Sie eine Massenanfrage mit einer ungültigen URL darin und sehen Sie sich an, wie der Teilfehler gemeldet wird.
5. Rufen Sie eine Aufschlüsselung nach Stadt für den Vormonat ab und vergleichen Sie die Summen mit dem Dashboard.
6. Registrieren Sie einen Webhook auf einen Endpunkt, der Anfragen mitschneidet, lösen Sie ein Ereignis aus, prüfen Sie die Signatur, nehmen Sie den Endpunkt dann offline und beobachten Sie den Wiederholungsplan.
7. Fordern Sie das OpenAPI-Dokument an und erzeugen Sie daraus einen Client.
8. Lesen Sie die Versionierungsrichtlinie und den Changelog der letzten zwölf Monate.

Die Schritte drei, vier und sechs überspringen die meisten Bewertungen — und genau sie sagen voraus, wie sich die Integration um zwei Uhr nachts verhält.

Die Kategorie hat in Dub eine echte Referenzimplementierung, in Short.io eine echte Option für Volumen und dahinter eine lange Reihe an Produkten, in denen die API ein Upselling-Hebel und kein Entwurfsziel ist. Unser eigener Ansatz — Schlüssel mit begrenztem Wirkungsbereich, veröffentlichte Limits mit ehrlichen Headern, Analytics und Domains als vollwertige Ressourcen und eine aus den Validierungsschemas erzeugte Spezifikation — ist unter API-Funktionen beschrieben, mit Anleitungen zu Schnellstart, Pagination, Fehlercodes und Webhooks in der Dokumentation.