---
title: "Wat is SAPI? Uitleg en betekenis | Keurig Online"
description: "SAPI (Server Application Programming Interface) is de koppeling waarmee PHP samenwerkt met een webserver of de opdrachtregel."
canonical: https://www.keurigonline.nl/begrippenlijst/sapi
last_modified: 2025-12-18
---

[Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst)

# SAPI

SAPI (Server Application Programming Interface) is de koppeling waarmee PHP samenwerkt met een webserver of de opdrachtregel.

Actueel: [CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive)

SAPI staat voor Server Application Programming Interface: de laag die bepaalt hoe PHP een verzoek binnenkrijgt en het antwoord teruggeeft. De taal zelf is overal dezelfde, maar per omgeving gebruikt PHP een andere SAPI, bijvoorbeeld een module in de webserver, FastCGI of de opdrachtregel.

Welke SAPI een script gebruikt, zie je met de functie php\_sapi\_name() of de constante PHP\_SAPI. Veelvoorkomende waarden zijn apache2handler voor mod\_php, fpm-fcgi voor PHP-FPM, litespeed voor LiteSpeed en cli voor de opdrachtregel. De SAPI bepaalt ook hoe je instellingen aanpast: een php\_value in .htaccess werkt onder mod\_php en LiteSpeed, terwijl PHP-FPM daarvoor een bestand .user.ini leest.

De keuze voor een SAPI is ook een beveiligingskeuze. Bij mod\_php draait PHP binnen het proces van de webserver, terwijl PHP-FPM en LiteSpeed PHP als aparte processen starten. Bij het PHP-lek van oktober 2026 maakte dat verschil: de bevestigde aanvalsroute werkte onder mod\_php, terwijl PHP-FPM het proces bij die fout afsloot.

Wil je weten welke SAPI je website gebruikt, zet dan tijdelijk een PHP-bestand in je public\_html dat alleen echo php\_sapi\_name(); uitvoert. Open het in je browser en verwijder het daarna weer. Op de shared hosting van KeurigOnline (cl01 tot en met cl09) draait PHP via de PHP-koppeling van LiteSpeed, op de VPS'en meestal via PHP-FPM.

## Geschiedenis

De term is ouder dan PHP. Netscape en Microsoft gaven hun webservers in de jaren negentig een eigen programmeerinterface voor uitbreidingen, NSAPI en ISAPI ([Wikipedia](https://en.wikipedia.org/wiki/Server_application_programming_interface)). PHP gebruikt de naam voor zijn eigen koppelingen met webservers.

Belangrijke mijlpalen:

- **Mei 2000:** PHP 4.0 verschijnt, met ondersteuning voor veel meer webservers ([geschiedenis van PHP](https://www.php.net/manual/en/history.php.php))
- **30 juni 2009:** PHP 5.3.0 krijgt een eigen SAPI voor LiteSpeed ([changelog](https://www.php.net/ChangeLog-5.php#5.3.0))
- **22 juli 2010:** [PHP 5.3.3](https://www.php.net/releases/5_3_3.php) voegt de SAPI voor PHP-FPM toe
- **Oktober 2026:** Bij het PHP-lek CVE-2026-109618 blijkt de SAPI te bepalen hoe makkelijk het lek te misbruiken is

## Bronnen

1. **PHP.net** - [php\_sapi\_name(): het type koppeling tussen webserver en PHP](https://www.php.net/manual/en/function.php-sapi-name.php)
2. **PHP.net** - [General Installation Considerations](https://www.php.net/manual/en/install.general.php)
3. **PHP.net** - [.user.ini files (alleen voor de CGI/FastCGI-SAPI)](https://www.php.net/manual/en/configuration.file.per-user.php)
4. **PHP Internals Book** - [Learning the PHP lifecycle](https://www.phpinternalsbook.com/php7/extensions_design/php_lifecycle.html)
5. **Wikipedia** - [Server application programming interface](https://en.wikipedia.org/wiki/Server_application_programming_interface)

## Gerelateerde artikelen

Beveiliging 22 okt 2026

[CVE-2026-109618 en -109619: de technische deepdive](https://www.keurigonline.nl/blog/php-lek-cve-2026-109618-deepdive)

**Samenvatting: de techniek achter onze aanpak van CVE-2026-109618 en -109619**

Beide lekken zitten in de PHP-engine, nog vóór de code van een site draait. Hoe groot het risico is, hangt af van de SAPI: mod\_php was het bevestigde doelwit, PHP-FPM en LiteSpeed draaien PHP in aparte processen. Wij zetten `session.upload_progress` uit op elke PHP-build, maten na dat ook de draaiende processen de instelling gebruikten, lieten Imunify360 het aanvalspatroon blokkeren en installeerden de vendor-builds zodra ze verschenen. Omdat het versienummer na de fix vaak gelijk blijft, controleerden we elke binary op de symbolen die de fix meebrengt.

Zo controleer je je eigen build

Dit is het technische vervolg op [onze terugblik op het PHP-lek van 21 oktober](https://www.keurigonline.nl/blog/php-lek-terugblik). Daar lees je wat we deden en waarom we online bleven. Hier gaan we de diepte in: wat er in de engine misgaat, waarom de SAPI uitmaakt, welke configuratie we op welke stack zetten, hoe de vendor-builds binnenkwamen en hoe je zelf controleert of een binary de fix bevat. Beheer je zelf PHP-servers, dan is dit voor jou.