Bokio API: vad du behöver veta innan du börjar bygga

Ja. Bokio har ett publikt REST-API som är delat i två separata gränssnitt med olika syften. Company API arbetar mot data i ett enskilt bolag: bokföring, fakturor, kunder och leverantörer. General API hanterar själva kopplingen — vilka bolag din applikation är ansluten till och vilka behörigheter som gäller.

Dokumentationen ligger på docs.bokio.se, och till skillnad från många svenska affärssystem publicerar Bokio sina OpenAPI-specifikationer öppet på GitHub. Det betyder att du kan generera en typad klient innan du ens har skaffat ett konto, vilket är ovanligt generöst och gör förarbetet betydligt snabbare.

Det första beslutet är också det viktigaste, eftersom det bestämmer autentisering, vilka API:er du når och hur mycket du får anropa. Bokio skiljer på privata och publika integrationer, och de är inte två nivåer av samma sak utan två olika modeller.

En privat integration byggs av ett bolag för dess eget bruk. En administratör skapar en integrationstoken direkt i Bokio-appen, och den token är hela autentiseringen — inget OAuth-flöde, ingen registrering hos Bokio. I gengäld når du bara Company API, och du är begränsad till 5 000 anrop per månad. För ett internt skript som synkar fakturor nattetid räcker det gott. För något som pollar ofta eller läser stora mängder historik gör det inte det.

En publik integration riktar sig till flera bolag. Du registrerar applikationen i Bokios utvecklarportal med namn, beskrivning och de behörigheter du behöver, och autentiserar med OAuth 2.0. Här får du både Company API och General API, och dokumentationen anger inga anropsgränser. Det är vägen om du bygger en produkt snarare än ett verktyg åt dig själv.

Den praktiska konsekvensen: väljer du privat för att komma igång snabbt och senare vill sälja lösningen till andra, byter du inte bara autentiseringsmetod utan även API-yta. Det är värt att bestämma sig tidigt.

Bokio tar inte betalt för API:et som en egen produkt med eget listpris. Åtkomsten följer i stället bolagets prisplan, och kraven skiljer sig mellan privata och publika integrationer.

Notera asymmetrin på Premium: planen inkluderar privata integrationer men kräver tillägget Integrationer (API) för publika. Det är lätt att missa när man testar med sitt eget bolag och sedan möter en kund som ligger på Premium.

Under Bokios fjortondagars testperiod är samtliga API-funktioner tillgängliga oavsett plan. Det gör testperioden till ett bra fönster för att verifiera att din integration faktiskt fungerar mot skarp data innan någon betalar för något.

Privata integrationer autentiseras med en integrationstoken som skapas av en bolagsadministratör inne i Bokio. Token skickas med anropet och representerar det bolaget — det finns inget användarsamtycke att hantera och ingen förnyelse att bygga logik för.

Publika integrationer använder OAuth 2.0 med två olika flöden beroende på vilket API du anropar. General API använder client credentials, alltså din applikations egna uppgifter utan någon användare inblandad. Company API använder authorization code, där kunden godkänner åtkomsten till sitt bolag. Att de två API:erna kräver olika grant-typer är den vanligaste överraskningen i Bokio-integrationer, och det är värt att strukturera tokenhanteringen efter det från början i stället för att bygga om den senare.

Det överlägset vanligaste felet är 403 Forbidden där orsaken inte är din kod utan kundens abonnemang. Saknar bolaget API-åtkomst i sin prisplan svarar Bokio med 403 och anger i svaret vilka planer som ger åtkomst och om ett tillägg går att köpa för den nuvarande nivån.

Det är värt att hantera uttryckligen i din felhantering. Ett generiskt "åtkomst nekad" leder till en supportrunda där ingen förstår problemet, medan ett meddelande om att bolagets Bokio-plan behöver uppgraderas löser ärendet direkt. Samma princip gäller anropsgränsen på privata integrationer: logga hur nära 5 000 i månaden du ligger innan taket nås, inte efter.

En växande andel av dem som söker efter Bokios API vill inte bygga en klassisk integration alls. De vill komma åt sin bokföring från ChatGPT eller Claude, och letar efter en MCP-server — Model Context Protocol, standarden som låter en AI-klient anropa ett system på egen hand.

Bokio erbjuder ingen egen MCP-server i skrivande stund, och vi vill vara raka med att Nordsynk inte heller gör det. Vår MCP-server körs i produktion mot Fortnox, där den enligt vår egen produktionsdata används av ungefär åttio svenska bolag för närvarande. Bokio finns på vår kartläggning som nästa svenska system, och efterfrågan på "bokio mcp" har gått från noll till mätbar sedan i våras.

Bygger du själv är den viktigaste lärdomen från vår Fortnox-implementation att läsning och skrivning måste behandlas olika. Läsoperationer är okontroversiella. I samma sekund en AI kan ändra bokförd data blir felet inte ett felmeddelande utan en felaktig siffra som ser rätt ut, och då behöver varje skrivning visa exakt vad den kommer att ändra och vänta på ett uttryckligt godkännande.