Lewati ke konten utama

Authentication, secret, dan request safety

Untuk prinsip penyimpanan credential, pemisahan environment, redaction, dan batas informasi publik, baca Perlindungan data dan keamanan platform.

API request menggunakan authorization sesuai kontrak yang diberikan kepada integrator. Simpan key hanya pada server-side secret manager dan rotasi melalui prosedur provider yang disetujui.

Gunakan idempotency key untuk operasi yang membuat atau mengubah resource jika kontrak menyatakannya. Simpan request ID dan status HTTP untuk diagnosis, tetapi redaksi token, booking ID nyata, email, telepon, bank, tax, dan payload provider.

GET /api/v1/spaces
Contoh harus memakai placeholder seperti <API_KEY> dan tidak pernah credential nyata.

Jaga keamanan akun

Jangan menguji rate limit, auth bypass, webhook signature, atau endpoint mutation pada data produksi tanpa scope dan approval keamanan yang eksplisit.

Header dan penyimpanan credential​

Ikuti skema authorization pada OpenAPI atau onboarding integrator. Jangan menebak nama header atau meletakkan API key pada query string. Pisahkan credential development, staging, dan production.

Rotasi key ketika anggota tim berubah, secret diduga bocor, atau kebijakan mewajibkan. Selama rotasi, dukung overlap terbatas bila proses resmi mengizinkan lalu cabut key lama.

Idempotency, rate limit, dan redaction​

Gunakan idempotency key unik per intent bisnis, bukan per retry. Untuk 429 atau error sementara, terapkan exponential backoff dan batas percobaan. Jangan retry error validasi tanpa memperbaiki request.

Log aman dapat memuat endpoint, method, status, request ID, durasi, dan kode error. Jangan log authorization, signature, payload customer, data bank, tax, KYC, atau URL feed privat.

Terakhir diverifikasi: 2026-07-24