Postman: wat is het, API-testen en werken met verzoeken

Wat is Postman en de belangrijkste mogelijkheden

Postman is een platform voor de ontwikkeling en het testen van API's, beschikbaar als desktopapplicatie (Windows, macOS, Linux) en webversie. Oorspronkelijk in 2012 gemaakt als extensie voor Chrome, is Postman uitgegroeid tot een volwaardig ecosysteem met ondersteuning voor monitoring, mock-servers en het genereren van clientcode.

Formaten van verzoeken en antwoorden

Postman ondersteunt alle HTTP-methoden: GET, POST, PUT, PATCH, DELETE, HEAD, OPTIONS. De body van het verzoek kan in de formaten JSON, XML, form-data, x-www-form-urlencoded en binary zijn. Het antwoord wordt weergegeven met syntaxishighlighting, Pretty-print en de mogelijkheid om ruwe headers te bekijken.

Ondersteuning voor authenticatie

De ingebouwde authenticatietypen omvatten Bearer Token, Basic Auth, Digest Auth, OAuth 1.0, OAuth 2.0, API Key en AWS Signature. Postman voegt automatisch de Authorization-header toe volgens het geselecteerde type, wat het testen van beveiligde endpoints versnelt zonder tokens handmatig te kopiëren.

De interface van Postman en navigatie

De interface van Postman bestaat uit een zijpaneel (Collections, APIs, Environments), een werkgebied (Request Builder/Response Viewer) en een onderste paneel (Console, Runner). Met het tabblad Params kunt u query-parameters van de URL in tabelvorm bewerken, met het tabblad Headers — HTTP-headers beheren.

Postman Console

Console (View → Show Postman Console) registreert alle netwerkverzoeken en antwoorden in chronologische volgorde, inclusief tussenliggende redirects en headers. Dit is een onmisbaar hulpmiddel bij het debuggen van complexe OAuth-stromen en redirectketens, wanneer de standaard Response Viewer alleen het uiteindelijke resultaat toont.

Workspaces en teamwerk

Postman ondersteunt teamwerkruimten (Workspaces) met versiebeheer van collecties via Fork en Merge. Teamleden kunnen verzoeken becommentariëren, wijzigingen voorstellen en collecties in realtime synchroniseren. Public Workspace maakt het mogelijk om API-documentatie voor externe ontwikkelaars te publiceren.

HTTP-verzoeken maken en verzenden

Het basisverzoek in Postman wordt gemaakt door een HTTP-methode te selecteren en een URL in de adresbalk in te voeren. Na het verzenden wordt het antwoord in het onderste paneel weergegeven met de statuscode, uitvoeringstijd en grootte. De parameters van het verzoek worden bij het invoeren automatisch gecodeerd.

Dynamische variabelen en snippets

In de URL en de body van het verzoek kunnen dynamische variabelen in het formaat {`{`}}$variable${`}`} worden gebruikt. De ingebouwde variabelen {`{`}$guid${`}`}, {`{`}$timestamp${`}`} en {`{`}$randomInt${`}`} genereren unieke waarden voor elk verzoek. Codesnippets zijn beschikbaar via de knop Code (), die een gelijkwaardig verzoek genereert in cURL, Python, JavaScript, Kotlin, Swift en andere talen.

// Voorbeeldscript in Pre-request: genereren van een HMAC-handtekening
const timestamp = Date.now().toString();
const secret = pm.environment.get("api_secret");
const hash = CryptoJS.HmacSHA256(timestamp, secret);
pm.request.headers.add({
    key: "X-Signature",
    value: hash.toString()
});

Collecties en omgevingsvariabelen

Collecties zijn groepen gerelateerde verzoeken, gebundeld per project of functionele module. Elke collectie kan geneste mappen, gemeenschappelijke headers en Pre-request-scripts bevatten, die vóór elk verzoek in de collectie worden uitgevoerd. De volgorde van verzoeken wordt ingesteld door slepen.

Omgevingsvariabelen en globale variabelen

Postman ondersteunt vijf niveaus van variabelen: global, collection, environment, data en local. De prioriteit voor het oplossen van conflicten — van lokaal naar globaal. Environment-bestanden bevatten sleutel-waardeparen voor verschillende omgevingen: development, staging, production. Het schakelen van omgeving verandert automatisch alle URL's en tokens.

Automatisering van API-testen via scripts

Postman maakt het mogelijk om tests in JavaScript te schrijven op het tabblad Tests, die worden uitgevoerd na ontvangst van het antwoord. De tests controleren de statuscode, de body van het antwoord, de headers en de uitvoeringstijd. Resultaten worden weergegeven in het paneel Test Results met een gekleurde indicatie van slagen.

De pm-bibliotheek en het koppelen van verzoeken

Het object pm biedt methoden voor het werken met het antwoord: pm.response, pm.expect, pm.variables. Het koppelen van verzoeken wordt gerealiseerd door gegevens uit het antwoord van het ene verzoek in een variabele op te slaan en die in het volgende te gebruiken. Dit is de basis voor het bouwen van integratietests en het controleren van bedrijfslogica via een reeks API-aanroepen.

// Test: controle van de responsstructuur en het opslaan van het token
pm.test("Status code is 200", () => {
    pm.response.to.have.status(200);
});

const json = pm.response.json();
pm.environment.set("auth_token", json.data.token);

Collection Runner en Newman

Collection Runner voert alle verzoeken van de collectie opeenvolgend uit en voert bij elke stap tests uit. Newman is de consoleversie van Postman voor CI/CD-pipelines (Jenkins, GitHub Actions, GitLab CI). Newman exporteert het rapport in de formaten JSON, JUnit en HTML voor integratie met monitorsystemen.

Werken met GraphQL en WebSocket

GraphQL-verzoeken worden in Postman verzonden via POST naar één endpoint met een body in JSON-formaat. Het tabblad GraphQL (Beta) biedt een visuele editor met syntaxishighlighting, automatisch aanvullen van velden en schema. Verzoekvariabelen worden in een apart paneel Variables doorgegeven.

WebSocket- en Socket.IO-testen

Postman ondersteunt WebSocket-verbindingen via een aparte interface met een berichtenpaneel. U kunt tekst- en binaire berichten verzenden, de verbindingsgeschiedenis bekijken en automatisch opnieuw verbinding maken bij een verbreking. De Socket.IO-client werkt in de compatibiliteitsmodus met het Engine.IO-protocol.

// WebSocket-test in Postman via pm API
const ws = new WebSocket("wss://echo.websocket.org");
ws.onmessage = (event) => {
    pm.test("Echo response received", () => {
        pm.expect(event.data).to.eql("Hello");
    });
};

Mock-servers en monitoring in Postman

Mock-servers van Postman maken het mogelijk om API-endpoints te emuleren op basis van bestaande collecties. Dit is handig wanneer de backend nog niet klaar is, terwijl de frontend of mobiele applicatie al wordt ontwikkeld. De mock-server retourneert een voorbeeldantwoord uit de collectie met correcte headers en statuscode.

Een mock-server maken

De mock-server wordt met één klik uit de collectie gemaakt: selecteer de collectie → Mock Servers → Add a new mock server. Postman genereert een unieke URL die in de code van de applicatie kan worden gebruikt in plaats van de echte API. Voor elk verzoek van de collectie retourneert de mock de opgeslagen Example Response, waardoor de UI kan worden gecontroleerd voordat de backend is afgerond.

API-monitoring via Postman Monitors

Monitors voeren de collectie volgens schema uit (elke 5 minuten, uur of dag) en controleren de beschikbaarheid en correctheid van de API. Bij een falende test stuurt de monitor een melding naar e-mail of Slack. Monitoring werkt vanuit de cloud van Postman, vereist geen aparte server en ondersteunt tot 10 000 verzoeken per maand op het gratis tarief.

// Test voor monitoring: controle van de responstijd
pm.test("Response time < 2000ms", () => {
    pm.expect(pm.response.responseTime).to.be.below(2000);
});

pm.test("Content-Type is JSON", () => {
    pm.response.to.have.header("Content-Type");
});

Beveiliging en beheer van geheimen

Postman biedt mechanismen voor veilig werken met API-sleutels. Variabelen van het type Secret worden versleuteld en niet in de interface weergegeven. Gebruik voor teamwerk een Workspace met de rollen Admin, Editor en Viewer.

Versleuteling van variabelen

Selecteer bij het maken van een omgevingsvariabele het type Secret — de waarde wordt in alle interfaces verborgen met sterretjes. Geheimen worden bij delen niet naar de collectie geëxporteerd en niet in Newman-logboeken weergegeven. Wachtwoorden en tokens wordt aanbevolen om uitsluitend in Secret-variabelen op te slaan.

Integratie met Vault

Postman ondersteunt integratie met HashiCorp Vault en AWS Secrets Manager. Pre-request-scripts kunnen dynamisch geheimen opvragen uit externe opslag, waardoor het opslaan van gevoelige gegevens in bestanden van de collectie en omgeving wordt uitgesloten.

Beveiliging en beheer van geheimen

Postman biedt mechanismen voor veilig werken met API-sleutels. Variabelen van het type Secret worden versleuteld en niet in de interface weergegeven. Gebruik voor teamwerk een Workspace met de rollen Admin, Editor en Viewer.

Versleuteling van variabelen

Selecteer bij het maken van een omgevingsvariabele het type Secret — de waarde wordt in alle interfaces verborgen met sterretjes. Geheimen worden bij delen niet naar de collectie geëxporteerd en niet in Newman-logboeken weergegeven. Wachtwoorden en tokens wordt aanbevolen om uitsluitend in Secret-variabelen op te slaan.

Integratie met Vault

Postman ondersteunt integratie met HashiCorp Vault en AWS Secrets Manager. Pre-request-scripts kunnen dynamisch geheimen opvragen uit externe opslag, waardoor het opslaan van gevoelige gegevens in bestanden van de collectie en omgeving wordt uitgesloten.