Wie man eine URL-Shortener-API für die eigene Anwendung auswählt

Ein Dienst wird nicht nach dem Preis und nicht nach der Länge seiner Funktionsliste gewählt, sondern nach sechs Kriterien — und jedes davon lässt sich vor der Integration prüfen oder eben nicht. Lässt sich ein Kriterium nicht prüfen, ist das bereits die Antwort.

Der verbreitete Fehler ist, auf das Anfragelimit zu sehen und anzunehmen, es beschreibe die Kapazität. Tut es nicht: Kürzungsdienste haben meist zwei voneinander unabhängige Grenzen, und aufgehalten werden Sie von derjenigen, an die Sie nicht gedacht haben.

Im Folgenden je Kriterium: worauf zu sehen ist, was Bitly dokumentiert und welche Zahlen bei uns gelten.

Kriterium 1. Das Anfragelimit muss eine Zahl sein

Brauchbare Dokumentation liest sich so: „35 Anfragen pro Minute, 2000 pro Stunde". Unbrauchbare so: „Die Grenzen hängen vom Tarif ab, sehen Sie in den Kontoeinstellungen nach".

Der Unterschied liegt nicht in der Formulierung, sondern darin, ob Sie die Kapazität vorab berechnen können. Entstehen Links durch eine Nutzeraktion, müssen Sie wissen, bei wie vielen gleichzeitigen Nutzern Sie an die Decke stoßen. Ohne eine veröffentlichte Zahl klärt sich das im Livebetrieb.

Das dokumentiert Bitly: höchstens fünf gleichzeitige Verbindungen von einer IP-Adresse; das Minutenlimit entspricht einem Zehntel des Stundenlimits; für /v4/shorten wird als Beispiel 1000 Aufrufe pro Stunde genannt. Genaue Werte je Tarif stehen nicht auf dieser Seite — die Dokumentation verweist auf die Kontoeinstellungen.

Die Grenze von fünf Verbindungen je IP wiegt schwerer, als sie aussieht. Läuft Ihre Anwendung hinter einer einzigen ausgehenden Adresse — und in containerisierter Infrastruktur ist das meist so —, ist die Parallelität Ihres Clients bei fünf gedeckelt, ganz gleich wie viele Anfragen pro Stunde man Ihnen verkauft hat.

Kriterium 2. Begrenzt sind Anfragen oder Links?

Das ist jene zweite Grenze, und in der Regel ist es sie, die die Arbeit anhält.

In Bitlys Tariftabelle stehen diese beiden Zahlen in verschiedenen Abschnitten, das Zusammenlegen bleibt Ihnen. Im kostenlosen Tarif: 1000 API-Anfragen pro Monat — und 5 Kurzlinks pro Monat. Das Anfragekontingent ist dekorativ: Sie können die Schnittstelle tausendmal aufrufen und bringen den sechsten Link dennoch nicht zustande.

Die erste Frage an jeden Dienst lautet daher: Was wird gezählt, Aufrufe oder erstellte Links? Und wenn beides gezählt wird, welches von beiden in Ihrem Lastprofil zuerst aufgebraucht ist.

Kriterium 3. Was beim Erreichen der Grenze passiert

Eine Grenze ist nicht nur eine Zahl, sondern auch ein Verhalten. Klären Sie vor der Integration:

• welcher Code zurückkommt. 429 ist zu erwarten, wichtig ist aber, ob der Dienst das Minutenlimit von der Monatsquote unterscheidet: das sind verschiedene Störungen mit verschiedenen Abhilfen;
• ob die Antwort den Rest mitführt. Gibt der Dienst den verbleibenden Rest zurück, können Sie vorab abbremsen. Tut er es nicht, erfahren Sie vom Problem erst bei der Ablehnung;
• wie Stapelaufrufe gezählt werden. Die häufigste Falle. Erstellt eine Methode 100 Links in einer Anfrage — verbraucht sie eine Einheit oder hundert? Unsere verbraucht hundert: ein Stapel mit 100 Links zieht 100 Einheiten ab, denn sonst wäre die Stapelmethode ein Weg um die Ratenbegrenzung herum. Prüfen Sie, wie Ihr Kandidat das hält, sonst ist Ihre Kapazitätsrechnung um den Faktor hundert falsch.

Kriterium 4. Das Authentifizierungsverfahren

Die Regel ist einfach: fehlt die dritte Partei, genügt ein Schlüssel, und OAuth bringt Arbeit ohne Sicherheitsgewinn. Ihr Server ruft die Schnittstelle unter Ihrem eigenen Konto auf — das ist ein Schlüssel im Header. Eine fremde Anwendung ruft sie im Namen Ihrer Nutzer auf — das ist OAuth.

Worauf in der Dokumentation des Kandidaten zu sehen ist:

• wie das Geheimnis reist. Im Header ist in Ordnung. Als Parameter in der Query-Zeichenkette nicht: Adressen setzen sich in Webserver-Logs, im Referer-Header und im Browserverlauf ab;
• ob ein Schlüssel widerrufen werden kann, ohne die übrigen zu zerstören. Ein Schlüssel je Integration heißt, den kompromittierten widerrufen zu können, ohne alles anzuhalten;
• wie aktuell das OAuth-Schema ist, falls vorhanden.

Der letzte Punkt verdient Ausführung. Im Januar 2025 veröffentlichte die IETF RFC 9700, die geltende Sammlung der Sicherheitspraktiken für OAuth 2.0. Das Dokument erklärte den Implicit Grant und Resource Owner Password Credentials förmlich für überholt — also jenes Verfahren, bei dem eine Anwendung den Nutzer direkt nach Benutzernamen und Passwort fragt.

Und Bitlys Authentifizierungsseite beschreibt den Resource Owner Credentials Grant weiterhin als unterstütztes Verfahren — neben dem Tausch von Benutzername und Passwort gegen ein Token über POST /oauth/access_token und HTTP Basic für Konsolenanwendungen. Das ist für sich keine Schwachstelle, aber ein Zeichen dafür, dass die Dokumentation der geltenden Fassung der Praktiken nachhinkt.

Kriterium 5. Antwortzeit, und warum fremden Zahlen nicht zu glauben ist

Zwei verschiedene Größen werden regelmäßig vermischt. Die Weiterleitungslatenz ist das, was die Person wartet, die auf den Kurzlink geklickt hat. Die API-Latenz ist das, was Ihr Code beim Erstellen eines Links wartet. Die erste wirkt auf die Konversion, die zweite entscheidet, ob Sie in das Zeitlimit Ihres Handlers passen.

Den Zahlen aus Marketingmaterial ist hier nichts zu glauben: gemessen wurden sie nicht aus Ihrer Region, nicht in Ihrem Volumen und nicht in Ihrem Tarif. Messen lässt sich das in zehn Minuten, und nur Sie selbst können es:

1. Holen Sie sich bei zwei oder drei Kandidaten einen Testschlüssel.
2. Erstellen Sie hundert Links der Reihe nach und notieren Sie die Zeit jeder Anfrage.
3. Sehen Sie auf das 95. und 99. Perzentil, nicht auf den Mittelwert. Der Mittelwert verbirgt genau die Fälle, an denen Ihr Handler scheitert.
4. Wiederholen Sie es aus der Region, in der Ihre Produktion steht, nicht vom Notebook.
5. Messen Sie die Weiterleitungslatenz gesondert — sie hat mit der API-Antwort nichts zu tun.

Gibt ein Kandidat keinen Testzugang ohne Gespräch mit dem Vertrieb, ist auch das ein Messergebnis.

Kriterium 6. Dokumentation, die sich überprüfen lässt

Der letzte Punkt lässt sich von außen in fünf Minuten prüfen: nehmen Sie drei oder vier Endpunkte aus der Dokumentation und rufen Sie sie ohne Schlüssel auf. Ein 401 heißt, die Route existiert und verlangt Autorisierung. Ein 404 heißt, die Dokumentation beschreibt etwas, das es nicht gibt.

Gegenüberstellung in Zahlen

Die Bitly-Angaben stammen von dessen Preisseite, Stand Oktober 2026; Preise und Grenzen ändern sich, prüfen Sie vor der Entscheidung die aktuelle Seite. Unsere stammen aus dem Code des Dienstes.

Drei Stellen dieser Tabelle verdienen aufmerksames Lesen.

Die beiden Dienste begrenzen entlang verschiedener Achsen. Bitly deckelt die Aufrufe je Monat, wir deckeln die Frequenz je Minute und je Stunde. Keines ist im Abstrakten besser, es sind verschiedene Regime: Eine Monatsquote ist bis zum Ersten endgültig erschöpft, ein Minutenlimit stellt sich in einer Minute wieder her. Das zweite passt zu Last mit Spitzen, das erste zu einem gleichmäßigen Grundstrom.

Bitlys Webhooks gibt es nur im Enterprise-Tarif, also auf Anfrage. Selbst die Stufe für 199 Dollar im Monat enthält sie nicht. Braucht Ihre Anwendung Klickereignisse, ist das ein Gespräch mit dem Vertrieb.

Ehrliche Einschränkungen auf unserer Seite. Unsere Webhooks sind auch nicht in jedem Tarif enthalten — nur in Premium. Im kostenlosen Tarif gibt es keinen dateibasierten Massen-Upload. Die Analysehistorie im kostenlosen Tarif beträgt 30 Tage, nicht ein Jahr.

Was Lix.li konkret bietet

Die Grenzen sind veröffentlicht und an den Tarif gebunden: 15 Anfragen je Minute und 600 je Stunde im kostenlosen Tarif, 35 und 2000 bei Pro, 60 und 3600 bei Premium. Über die Schnittstelle lassen sich im kostenlosen Tarif 150 Links im Monat erstellen, bei Pro 500, bei Premium unbegrenzt viele.

Individuelle Grenzen gibt es auf Anfrage. Das ist keine Marketingfloskel, sondern ein eigener Mechanismus: die Grenze eines bestimmten Kunden wird getrennt vom Tarif gespeichert, hat ihren eigenen Geltungszeitraum und wird vor der Tarifgrenze geprüft. Passt Ihr Lastprofil nicht in das Standardraster — etwa eine einmalige Migration von einer Million Links oder eine terminierte, wiederkehrende Spitze —, schreiben Sie uns, und wir heben die Decke für Ihren Fall an, statt Sie in eine Stufe zu drängen, die Sie an den übrigen neunundzwanzig Tagen des Monats nicht brauchen.

Die Authentifizierung läuft über einen Schlüssel im Header X-Api-Key. Schlüssel werden im Dashboard angelegt und widerrufen, jeder trägt seine eigene Grenze, der Abgleich geschieht per Hash. OAuth gibt es nicht, und zwar bewusst: Die Anwendungsfälle liegen auf der Serverseite, und es tritt keine dritte Partei auf, der ein Nutzer zustimmen müsste.

Die Dokumentation ist eine OpenAPI-3.1-Spezifikation samt interaktiver Seite. Die Endpunkte umfassen Links, Gruppen, A/B-Tests und Conversions. Die Antwortcodes stehen in der API-Dokumentation, und was der Dienst darum herum leistet, auf der Seite zur URL-Shortener-API.

Wie man an einem Abend entscheidet

Links entstehen im Backend, keine fremden Anwendungen
    → Schlüssel im Header, OAuth nicht nötig

Links entstehen durch eine Nutzeraktion
    → das Minutenlimit an der Spitze bemessen, nicht am Mittel

Sie laden Kataloge und Exporte
    → nach einer Stapelmethode suchen und fragen, wie sie das Limit verbraucht

Sie brauchen Klickereignisse
    → nachsehen, in welchem Tarif Webhooks liegen, und ob dieser Tarif Enterprise ist

Ihr Lastprofil passt nicht in das Preisraster
    → nach einer individuellen Grenze fragen, bevor Sie die höhere Stufe zahlen

Der Dienst veröffentlicht keine Grenzen als Zahl
    → davon ausgehen, dass Ihnen keine zugesagt wurden

Ein Text für die Integrationsphase: die Aufschlüsselung der Weiterleitungen 301, 302, 307 und 308 erklärt, warum ein 301 aus einem POST ein GET macht und wie das die Annahme von Postbacks zerlegt. Kommen die Links als Stapel aus einem Export, sehen Sie sich Links massenhaft kürzen an. Und wer Ereignisse lieber zugestellt bekommt, statt Statistiken abzufragen, kommt an Webhooks nicht vorbei.

Und zuletzt. Das einzige Kriterium, das sich nicht gegen die Dokumentation prüfen lässt, ist das, was geschieht, wenn Ihr Volumen wächst. Deshalb sind ein Testschlüssel und ein paar hundert Anfragen aus Ihrer eigenen Umgebung einen Abend wert — aufgewendet, bevor der Dienst in Ihr Architekturdiagramm gerät, nicht danach.