eSIM API Checkliste (2026): 12 Funktionen, die eine Travel eSIM API haben muss — und wie du jede einzelne testest

Die Anbindung einer eSIM API an deine App, Reiseplattform oder dein Buchungssystem ist nicht schwer. Was schwer ist, ist nach dem Launch herauszufinden, dass die API bei einem Timeout doppelt abbucht, dir nicht sagen kann, wenn einem Kunden die Daten ausgehen, oder dir keine Möglichkeit bietet, Fehler zu testen.

Diese Checkliste deckt die 12 Funktionen ab, die in der Produktion wichtig sind, und für jede einzelne wird erklärt, wie du sie testest, bevor du dich anmeldest. Wir verwenden die TripoSIM Partner API als Praxisbeispiel, aber du kannst dieselbe Checkliste nutzen, um jeden Anbieter zu vergleichen.

1. Sichere Token-Authentifizierung

Worauf du achten solltest: OAuth 2.0 Client Credentials: Du tauschst eine Client ID und ein Secret gegen einen kurzlebigen Access Token aus. Secrets werden niemals mit jeder Anfrage mitgesendet.

Wie du testest: Fordere einen Token an und prüfe, ob er abläuft. In der TripoSIM API gibt POST /auth/token einen Access Token zurück, der 15 Minuten gültig ist. Stelle sicher, dass dein Code ihn automatisch erneuert, bevor er abläuft.

2. Idempotency-Keys (keine Doppelabbuchungen)

Worauf du achten solltest: Einen Idempotency-Key Header bei jeder Bestellung und Aufladung. Wenn deine Anfrage in ein Timeout läuft und du sie mit demselben Key wiederholst, muss die API das ursprüngliche Ergebnis zurückgeben, anstatt eine zweite bezahlte eSIM zu erstellen.

Wie du testest: Sende dieselbe Bestellung zweimal mit demselben Key und bestätige, dass du nur eine Bestellung erhältst. Sende dann denselben Key mit einem anderen Body — eine gute API wird diesen ablehnen. TripoSIM erfordert den Key bei Produktionsbestellungen und Aufladungen und gibt 409 IDEMPOTENCY_KEY_REUSED zurück, wenn ein Key mit einer anderen Anfrage wiederverwendet wird.

3. Preisangebote, die den Preis festschreiben

Worauf du achten solltest: Eine Möglichkeit, einen Preis abzurufen und ihn für kurze Zeit festzuhalten, damit dein Kunde genau das bezahlt, was du ihm angezeigt hast.

Wie du testest: Erstelle ein Angebot, warte und bestelle dann damit. TripoSIM Angebote sind 10 Minuten gültig; ein abgelaufenes Angebot gibt 409 QUOTE_EXPIRED zurück, sodass du ein neues Angebot erstellen kannst, anstatt einen überraschenden Preis zu berechnen.

4. Ein sauberer Katalog-Feed

Worauf du achten solltest: Einen Endpoint, der jeden Plan mit Preis, Datenvolumen, Gültigkeit, Abdeckungslandern, 5G, Auflade-Unterstützung — und bei Unlimited-Plänen das tägliche Limit für die volle Geschwindigkeit — auflistet.

Wie du testest: Rufe den Katalog für ein Land ab und vergleiche ihn mit der eigenen Website des Anbieters. Der TripoSIM /catalog Endpoint gibt JSON oder CSV zurück, enthält regionale Pläne für das jeweilige Land und fügt die Fair-Use-Felder (fup_daily_mb, fup_throttle_kbps) für Unlimited-Pläne hinzu. Sieh dir an, [wie tägliche Unlimited-Limits funktionieren](/blog/unlimited-esim-daily-limit-by-country-2026).

5. Sofortige Bestellung und QR-Zustellung

Worauf du achten solltest: Die Antwort auf die Bestellung (oder ein Webhook Sekunden später) sollte den Aktivierungscode im Standard-LPA-Format enthalten, zum Beispiel LPA:1$smdp.example.com$ACTIVATION_CODE, damit du einen QR-Code oder einen One-Tap-Install-Link anzeigen kannst.

Wie du testest: Tätige eine Sandbox-Bestellung, generiere den QR-Code aus dem LPA-String und scanne ihn mit einer Smartphone-Kamera, um zu prüfen, ob das Format gültig ist.

6. Signierte Webhooks für jedes Event

Worauf du achten solltest: Push-Benachrichtigungen für den gesamten eSIM-Lebenszyklus, die signiert sind, damit Angreifer sie nicht fälschen können.

TripoSIM sendet acht Event-Typen: order.completed, order.failed, esim.activated, esim.usage_80, esim.suspended, esim.resumed, esim.depleted und esim.expired. Jede Anfrage trägt einen X-TripoSIM-Signature Header — ein HMAC-SHA256 des Zeitstempels und des Raw-Bodys unter Verwendung deines Signing-Secrets:

<pre><code>// reject requests older than 5 minutes (replay protection) if (Math.floor(Date.now() / 1000) - parseInt(timestamp) &gt; 300) throw new Error('Webhook too old'); const expected = crypto .createHmac('sha256', signingSecret) .update(timestamp + '.' + rawBody) .digest('hex'); if (!crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected))) { throw new Error('Invalid webhook signature'); }</code></pre>

Wie du testest: Registriere einen Webhook, löse eine Bestellung aus und verifiziere die Signatur in deinem Code. Ändere dann ein Byte im Body und stelle sicher, dass deine Prüfung ihn ablehnt.

7. Eine Sandbox, die das gesamte eSIM-Leben simuliert

Worauf du achten solltest: Echte eSIMs benötigen Tage, um aktiviert zu werden und Daten zu verbrauchen. Eine gute Sandbox lässt dich vorspulen.

Wie du testest: In der TripoSIM Sandbox kannst du POST /sandbox/esims/{iccid}/simulate mit einer Aktion wie activate, usage, deplete, expire oder reset verwenden. Jeder Schritt löst den passenden Webhook aus, sodass du deine "Deine Daten sind fast aufgebraucht"-E-Mail in Minuten statt in Tagen testen kannst.

8. Fehlersimulation

Worauf du achten solltest: Eine Möglichkeit, Fehler absichtlich zu erzwingen, damit du weißt, dass deine App sie verarbeiten kann.

Wie du testest: Sende den X-Sandbox-Simulate Header mit Modi wie insufficient_balance, price_changed, rate_limit, provider_unavailable oder timeout und prüfe, ob deine App eine klare Nachricht anzeigt und nur dann wiederholt, wenn sie es soll.

9. Aufladungen auf derselben eSIM

Worauf du achten solltest: Kunden, deren Daten aufgebraucht sind, sollten mehr Daten hinzufügen können, ohne eine neue eSIM installieren zu müssen.

Wie du testest: Rufe POST /esims/{iccid}/topup in der Sandbox auf (mit einem Idempotency-Key) und prüfe dann das neue Datenvolumen. Prüfe auch, welche Pläne Aufladungen unterstützen — der Katalog sollte es dir sagen.

10. Nutzungs- und Statusdaten

Worauf du achten solltest: Einen Endpoint für verbrauchte Daten, verbleibende Daten und Ablaufdatum, damit dein Support-Team und deine App auf die Frage "Wie viel Daten habe ich noch?" antworten können.

Wie du testest: Rufe GET /esims/{iccid}/usage nach einem simulierten Nutzungs-Event auf. TripoSIM zwischenspeichert die Nutzung für 5 Minuten, also nutze Webhooks (esim.usage_80, esim.depleted) für Echtzeit-Benachrichtigungen.

11. Suspend und Resume

Worauf du achten solltest: Eine Möglichkeit, eine eSIM zu pausieren — zum Beispiel wenn eine Zahlung bestritten wird oder ein Kunde ein verlorenes Telefon meldet — und sie später wieder zu aktivieren.

Wie du testest: Suspendiere eine Sandbox-eSIM, bestätige, dass der esim.suspended Webhook ankommt, dann resume sie und bestätige esim.resumed.

12. Klare Rate Limits, Fehlercodes und ein Changelog

Worauf du achten solltest: Dokumentierte Limits, Fehlercodes, die dir sagen, ob du es erneut versuchen sollst, und ein öffentliches Changelog, damit dich Updates nie überraschen.

Wie du testest: Lies die Fehlerliste und ordne jeden Code in deinem Code "retry" oder "do not retry" zu. TripoSIM erlaubt 120 Anfragen pro Minute pro Partner-Account (du kannst niedrigere Limits für einzelne API-Keys festlegen), gibt bei 429-Antworten einen Retry-After-Header zurück, markiert jeden Fehlercode als retryable oder nicht und veröffentlicht einen Changelog-Endpoint.

Ein einfacher Launch-Plan

1. Tag 1: Sandbox-Keys holen, authentifizieren, Katalog abrufen.
2. Tag 2: Sandbox-Bestellungen mit Idempotency-Keys tätigen und QR-Codes anzeigen.
3. Tag 3: Webhooks hinzufügen, den Lebenszyklus- und Fehlersimulator laufen lassen.
4. Tag 4: Aufladungen und Nutzung hinzufügen, dann auf einem echten Telefon mit einer Live-eSIM testen.
5. Tag 5: Live gehen.

Die meisten Teams sind in weniger als einer Woche angebunden. Lies die vollständige [API-Dokumentation](https://docs.triposim.com) oder sieh dir unseren Schritt-für-Schritt [eSIM API Integrationsguide](/blog/esim-reseller-api-how-to-integrate-travel-esim-sales-into-your-platform) an.

Häufig gestellte Fragen

Was sollte eine Reise-eSIM API enthalten?

Mindestens: Token-Authentifizierung, Idempotency-Keys, Preisangebote, einen Katalog-Feed, sofortige QR/Aktivierungscodes, signierte Webhooks, eine Sandbox mit Lebenszyklus- und Fehlersimulatoren, Aufladungen, Nutzungsdaten, Suspend/Resume sowie dokumentierte Rate Limits und Fehlercodes.

Warum sind Idempotency-Keys für eine eSIM API wichtig?

Jede eSIM-Bestellung kostet echtes Geld. Wenn eine Anfrage in ein Timeout läuft und dein System sie wiederholt, stellt ein Idempotency-Key sicher, dass die Wiederholung das erste Ergebnis zurückgibt, anstatt eine zweite eSIM zu kaufen.

Wie teste ich eine eSIM API, ohne eSIMs zu kaufen?

Nutze die Sandbox. Eine gute Sandbox simuliert Bestellungen, Aktivierung, Datennutzung, Aufbrauch und Ablauf — und lässt dich Fehler erzwingen — ohne dein Guthaben zu belasten.

Wie lange dauert eine eSIM API Integration?

Mit einer gut dokumentierten API und einer vollständigen Sandbox sind die meisten Teams in 3–5 Werktagen live.

Unterstützt die TripoSIM API White-Label-Auslieferung?

Ja. Du erhältst den Aktivierungscode und die QR-Daten, sodass du die eSIM innerhalb deiner eigenen App oder per E-Mail unter deiner eigenen Marke ausliefern kannst. Sieh dir das [API-Programm](/api-program) an.

Fazit

Der Preis ist wichtig, aber bei einer eSIM API zeigt sich der wahre Unterschied erst nach dem Launch: Retries, die niemals doppelt abbuchen, Webhooks, denen du vertrauen kannst, und eine Sandbox, die es dir ermöglicht, erst alles zu testen. Führe diese Checkliste bei jedem Anbieter durch, bevor du dich entscheidest — und [beginne mit unserer Sandbox](/api-program), um zu sehen, wie die TripoSIM Partner API abschneidet.