Kunci API dan token akses

Kunci API adalah jalan masuk program Anda ke API LinkHarbor. Kunci ini milik workspace, bukan milik orang, dan bisa melakukan persis apa yang Anda izinkan lewat scope. Untuk panggilan yang sebenarnya, Anda menukar kunci dengan access token yang berumur pendek.

#Siapa yang bisa membuat kunci API?

• Pemilik dan admin workspace – editor dan pelihat hanya melihat kartu “Aplikasi terhubung” di “Callback & API”
• Mulai Creator Pro; di Creator Free kartunya bertuliskan “Kunci API tersedia mulai dari Creator Pro.”
• Aktif bersamaan: hingga 5 kunci di Creator Pro, hingga 20 di Creator Agency, hingga 50 di Enterprise

Begitu batasnya tercapai, pembuatan kunci gagal dengan 409 limit_reached. Hapus dulu kunci yang tidak lagi Anda perlukan.

#Membuat kunci API

1. Buka “Callback & API” di navigasi
2. Di kartu “Kunci API”, klik “+ Buat kunci baru”
3. Di “Nama (opsional)”, masukkan nama yang nanti membuat Anda mengenali kuncinya, misalnya “Pipeline CI/CD” atau “Sinkronisasi toko”
4. Di “Scope”, pilih “Baca” atau “Tulis” untuk setiap area
5. Klik “Buat kunci”
6. Segera salin “Rahasia kunci (privat)” dan simpan di tempat yang aman
7. Tutup dialog – ID kunci bisa Anda temukan di daftar kapan saja

“Nama (opsional)”

Hingga 64 karakter. Tanpa nama, kunci muncul di daftar sebagai “Kunci API #ID”.

“Scope”

Minimal satu wajib dipilih. “Tulis” otomatis mencakup “Baca” untuk area yang sama. Statistik dan pembayaran pendukung hanya bisa dibaca, templat workspace hanya bisa ditulis. Semua scope dijelaskan di Scope secara detail.

“Rahasia kunci (privat)”

Diawali lt_ dan ditampilkan tepat satu kali (“⚠️ Hanya terlihat sekali — salin sekarang!”). LinkHarbor hanya menyimpan hash-nya dan tidak bisa menampilkannya lagi nanti.

“ID kunci:”

16 karakter berupa angka dan huruf kapital A–F, misalnya 6F668EA6598B0692. ID ini tidak rahasia dan muncul di daftar dengan tombol salin.

#Daftar kunci

Setiap kunci aktif menampilkan nama, status “Aktif”, ID kunci, scope-nya, “Dibuat:” dan “Terakhir digunakan:” atau “Belum pernah digunakan”. Waktu pemakaian terakhir diperbarui di setiap panggilan dengan kunci itu, paling sering sekali per menit. “↺ Muat ulang” memuat ulang daftar.

#Menukar kunci dengan access token

curl -X POST https://dock.at-harbor.com/v1/token \
  -H "Content-Type: application/json" \
  -d '{"key_id":"6F668EA6598B0692","key_secret":"lt_…"}'

{ "token": "eyJhbGciOiJIUzI1NiIs…", "expires_in": 900 }

token

Access token. Anda mengirimnya di setiap permintaan sebagai Authorization: Bearer <token>.

expires_in

Masa berlaku dalam detik: 900, yaitu 15 menit. Tidak ada refresh token – begitu kedaluwarsa, cukup ambil token baru dengan ID kunci dan rahasianya.

Token mewakili workspace dan membawa persis scope milik kunci tersebut. Token tidak punya peran seperti seseorang: endpoint yang di dasbor hanya untuk pemilik dan admin (anggota, penagihan, mengelola domain, webhook, pengaturan workspace) selalu ditolak untuk token dari kunci API. Pengecualiannya adalah tautan pendek dan templat workspace, yang berfungsi dengan scope yang sesuai, serta membaca rahasia callback (tanpa rahasia dalam teks biasa) dengan read:workspaces.

#Percobaan gagal dan penguncian

Dengan api_key_locked, sisa waktunya ada di details.retry_after_sec. Penukaran yang berhasil mereset penghitungnya.

#Menghapus dan mengganti kunci

1. Klik “Hapus” di samping kunci
2. Ketik DELETE untuk konfirmasi
3. Klik “Hapus permanen”

Kunci langsung berhenti berfungsi – access token yang sudah diterbitkan juga berhenti berfungsi sejak saat itu dan mendapat 401 invalid_token. Tidak ada tombol rotasi. Untuk berganti kunci, buat kunci baru, pindahkan program Anda ke kunci itu, lalu hapus yang lama.

#Saat paket turun

Jika workspace pindah ke Creator Free, semua kunci API dicabut. Jika pindah ke paket dengan kunci lebih sedikit, yang terbaru dipertahankan dan sisanya dicabut. Kunci yang dicabut tidak kembali setelah upgrade berikutnya – Anda lalu membuat kunci baru. Pemilik menerima email yang mencantumkan fitur yang dinonaktifkan. Selengkapnya di Membatalkan dan downgrade.

#Menjaga keamanannya

• Simpan rahasia hanya di secrets manager atau di variabel lingkungan, jangan pernah di kode sumber atau repositori Git
• Jangan pernah memakainya di kode yang berjalan di browser atau di aplikasi pada perangkat pengguna
• Buat kunci terpisah untuk setiap aplikasi, dengan scope sesedikit mungkin
• Segera hapus kunci yang tidak lagi Anda perlukan
• Jika Anda menduga ada kebocoran: hapus kuncinya dan buat yang baru