Autentikasi

Format kunci#

esk_live_<prefix:10>_<secret:40>

Kunci adalah string alfanumerik yang terdiri dari prefiks 10 karakter (pengenal publik yang ditampilkan di portal) dan rahasia 40 karakter. esimoa hanya menyimpan hash SHA-256, sehingga kunci lengkap hanya ditampilkan sekali saat diterbitkan dan tidak dapat dipulihkan.

Sending the key#

Kirim kunci di header X-API-Key pada setiap permintaan; Authorization: Bearer juga diterima. Tanpa kunci akan menghasilkan 401 API_KEY_REQUIRED, dan kunci yang salah format atau tidak dikenal menghasilkan 401 INVALID_API_KEY.

# Preferred
X-API-Key: esk_live_AbCdE12345_<40-character secret>

# Also accepted
Authorization: Bearer esk_live_AbCdE12345_<40-character secret>

Issuing keys#

1. 1Portal mitra → Kunci API — buat kunci baru.
2. 2Beri nama dan, jika perlu, masa berlaku (antara 1 menit hingga 3 tahun dari sekarang) serta daftar IP yang diizinkan.
3. 3Salin kunci segera — kunci hanya ditampilkan sekali — dan simpan di pengelola rahasia atau variabel lingkungan server.

Secara default, setiap akun dapat memiliki hingga 5 kunci aktif (kunci yang belum dicabut dan belum kedaluwarsa).

Rotating keys#

Rotasi membuat kunci baru dengan nama, cakupan, daftar IP yang diizinkan, dan masa berlaku yang sama. Kunci lama tetap berfungsi selama masa tenggang yang Anda pilih (0–72 jam), lalu kedaluwarsa — terapkan kunci baru dalam rentang waktu itu. Masa tenggang 0 langsung memutus kunci lama.

IP allowlist#

Setiap kunci dapat dibatasi hingga 20 alamat IPv4/IPv6 atau rentang CIDR (mis. 203.0.113.10, 198.51.100.0/24). Daftar kosong berarti tanpa batasan; permintaan dari tempat lain akan mendapat 403 IP_NOT_ALLOWED. Gunakan IP keluar (egress) server Anda.

Revoking keys#

Cabut kunci di portal segera setelah bocor atau tidak diperlukan lagi. Kunci tidak di-cache, jadi permintaan berikutnya langsung ditolak dengan 401 KEY_REVOKED. Dalam keadaan darurat, esimoa dapat mencabut kunci atau menangguhkan akun; setiap kunci dari akun yang ditangguhkan mendapat 403 PARTNER_SUSPENDED.

Member roles#

Hanya anggota OWNER, ADMIN, dan DEVELOPER yang dapat menerbitkan, merotasi, atau mencabut kunci; semua anggota dapat melihat daftar kunci.