Autentikasi

Di mana menempatkan key

Kirim key sebagai field key di dalam body request yang di-form-encode. Auth berbasis header tidak didukung — spesifikasi v2 menggunakan parameter body demi kompatibilitas dengan SDK reseller yang sudah ada.

Content-Type: application/x-www-form-urlencoded

key=YOUR_API_KEY&action=services

Membuat dan mengganti key

Key dibuat dan dicabut dari /dashboard/api. Key mentah ditampilkan tepat sekali. Server menyimpan verifier satu arah dan identifier pendek yang tidak rahasia, sehingga nilai mentahnya tidak dapat dipulihkan nanti.

• Maksimum 5 key aktif per akun. Key lama dapat dicabut satu per satu.
• Ganti tanpa downtime. Buat key pengganti, perbarui integrasi Anda, lalu cabut key lama. Key yang dicabut ditolak pada request baru.
• Sesi dashboard aktif diperlukan. Pembuatan memerlukan sesi dashboard terautentikasi yang tidak sedang menyamar. Tidak ada permintaan kode email atau password tambahan.

Apa yang bisa dilakukan API key

Kunci API v3 terbatas pada tindakan yang terdokumentasi dan tidak dapat mengakses sesi dasbor yang telah masuk atau data akun lain.

• Menarik atau mentransfer saldo.
• Mengubah email akun, password, atau pengaturan 2FA.
• Membuat atau mencabut API key lain melalui API.
• Mengakses endpoint admin atau moderasi.

Rekomendasi keamanan

• Hanya di sisi server. Jangan pernah menyematkan API key dalam bundle browser, aplikasi mobile, atau client apa pun yang bisa didekompilasi pihak lain.
• Gunakan environment variable. Jangan commit key ke git. File .env harus masuk ke .gitignore.
• Cabut saat dicurigai. Jika key terekspos di log, screenshot, atau chat bersama, buat pengganti lalu cabut key tersebut.
• Gunakan webhook untuk mengurangi polling jika berguna. Pengiriman bersifat best-effort dengan retry, jadi buat handler idempotent dan rekonsiliasi state penting melalui action=status.