Fortnox API — praktisk guide från ett team som kör det i produktion

Har Fortnox ett API?

Ja, Fortnox har ett REST-API (api.fortnox.se) med OAuth 2.0; integrationer registreras i Fortnox Developer Portal och aktiveras av kunden i sin egen Fortnox-portal. API:t är organiserat kring resurs-URL:er under /3/ — fakturor, kunder, leverantörsfakturor, bokföring, löner och mer — och svarar i JSON som standard.

Ytan är stor: 233 sökvägar fördelat på 377 operationer, grupperade i namngivna scopes som styr vad en given integration får läsa och skriva. En kund ser bara den data som hör till de scopes integrationen begärde när den aktiverades, inte hela Fortnox API automatiskt.

Så kommer du igång

Att bygga mot Fortnox API kräver fem steg innan du kan hämta din första faktura. Fortnox egen dokumentation går igenom varje del i detalj — här är ordningen i korthet.

1. 1

   Skapa ett konto i Fortnox Developer Portal

   Du behöver en Fortnox-användare med utvecklarlicens, vilket nya konton får automatiskt. Portalen nås via Meny → Developer Portal i din Fortnox-inloggning.

2. 2

   Registrera en integration

   Namnge integrationen och välj vilka scopes den ska begära åtkomst till, till exempel bokföring, fakturor eller leverantörsfakturor. Här anger du också din redirect-URI, sidan dit kunden skickas efter godkännande.

3. 3

   Implementera OAuth 2.0-flödet

   Skicka användaren till Fortnox inloggning, ta emot auktoriseringskoden — giltig i tio minuter — och växla den mot en access-token och en refresh-token med ditt Client ID och Client Secret som legitimation.

4. 4

   Låt kunden aktivera integrationen

   Kunden godkänner integrationen i sin egen Fortnox-portal eller via Fortnox Integrationsmarknad. Aktiveringen låser fast vilka scopes du faktiskt får använda mot just det företaget.

5. 5

   Gör ditt första anrop

   Skicka ett GET-anrop mot en resurs, till exempel /3/invoices, med access-token som Bearer-token i Authorization-headern. Fungerar anropet är du igång.

Hastighetsgränser och paginering

Fortnox API tillåter 25 anrop per 5 sekunder per access-token, vilket motsvarar 300 anrop per minut. Fortnox egen OpenAPI-specifikation anger exakt detta, och Nordsynks resiliens-mellanlager är konfigurerat med samma gränser som standardvärde — 25 per 5 sekunder och 300 per minut — så vi utgår aldrig från en siffra vi inte kan verifiera i koden.

Gränsen är ett sliding window: överanvänder du den under en period fortsätter strypningen tills snittet är nere i 25 anrop per 5 sekunder igen. Fortnox svarar med HTTP 429 när gränsen nås, och en robust klient väntar och försöker igen istället för att bara ge upp.

Paginering sker med frågeparametern page, till exempel /3/invoices?page=3. Många klassiska listsvarsmodeller innehåller MetaInformation med @CurrentPage, @TotalPages och @TotalResources, men det beror på resursen: kontrollera responsmodellen och läs dessa exakta fält endast där de finns.

Autentisering: OAuth 2.0, inga api-nycklar

Fortnox API använder OAuth 2.0. Mänskliga användaranslutningar växlar en auktoriseringskod mot access- och refresh-token; Fortnox dokumenterar också client credentials grant för förhandsgodkända servicekonton med tenant-avgränsad åtkomst. Båda använder integrationens Client ID och Client Secret mot token-endpointen.

Varje anrop mot en resurs skickar access-token som Bearer-token i Authorization-headern. Scopes du begärde när integrationen skapades avgör vilka resurser token faktiskt kommer åt, så ett 403-svar betyder oftast ett scope- eller licensproblem snarare än ett fel i själva anropet.

Kodexempel

Ett minimalt GET-anrop mot fakturor via curl:

curl https://api.fortnox.se/3/invoices \
  -H "Authorization: Bearer $ACCESS_TOKEN"

Svaret paketeras i en Invoices-array. Skrivoperationer, fler språk och kompletta exempel i Python och TypeScript finns på exempelsidan.

Vanliga fel

De flesta felsökningar mot Fortnox API landar i en av de här fyra.

Slipp limmet: prata med Fortnox via MCP istället

Allt ovan — OAuth-flöde, token-förnyelse, hastighetsgränser, paginering och felnormalisering — är infrastruktur du behöver bygga och underhålla innan du skrivit en rad affärslogik. I praktiken blir det ofta en sprint av limkod för ett team som egentligen bara vill fråga vilka fakturor som är obetalda den här månaden.

Nordsynk exponerar hela Fortnox-ytan — 233 sökvägar, 377 operationer — via en enda MCP-endpoint. Klistra in https://mcp.nordsynk.se/mcp i Claude, ChatGPT eller Cursor så sköter Nordsynk OAuth, token-förnyelse och hastighetsgränser åt dig; du ställer frågan i klartext istället för att skriva klienten.

Vanliga frågor om Fortnox API