Keamanan dan Konfigurasi

Prinsip utama untuk melindungi kunci API adalah: jangan mengeksposnya, gunakan hak akses minimum, lakukan rotasi secara berkala, dan pastikan penggunaannya dapat ditelusuri.

Bagaimana cara mengelola dan melindungi kunci API?

Praktik yang disarankan:

• Jangan memasukkan kunci API ke repositori publik, halaman frontend, paket aplikasi seluler, atau tangkapan layar.
• Baca kunci API dari variabel lingkungan atau pengelola rahasia di server.
• Buat kunci API terpisah untuk pengembangan, pengujian, dan produksi.
• Buat kunci terpisah untuk layanan atau aplikasi yang berbeda agar lebih mudah ditelusuri dan diisolasi.
• Konfigurasikan izin model sesuai kebutuhan dan tetapkan tanggal kedaluwarsa bila sesuai.
• Lakukan rotasi kunci API secara berkala; segera lakukan rotasi setelah perubahan personel, penghentian layanan, atau dugaan kebocoran.

Jika kunci API mungkin telah bocor:

1. Segera nonaktifkan, hapus, atau rotasi kunci lama.
2. Buat kunci baru dan perbarui semua layanan yang bergantung padanya.
3. Tinjau penggunaan terkini, perubahan saldo, dan pengeluaran tidak wajar.
4. Perketat izin model dan pertimbangkan masa berlaku yang lebih singkat.
5. Tinjau jalur kebocoran, seperti repositori, log, konfigurasi CI, atau klien pihak ketiga.

Kebocoran kunci API dapat menyebabkan panggilan tidak sah dan kerugian biaya. Kunci pengujian pun harus dilindungi seperti rahasia produksi.

Bisakah saya melihat kunci API lengkap lagi setelah dibuat?

Tidak. Kunci API lengkap hanya ditampilkan dalam alur pembuatan yang berhasil. Setelah itu, konsol hanya menampilkan pratinjau yang disamarkan.

Sebelum menutup dialog pembuatan, simpan kunci dalam variabel lingkungan di server atau pengelola rahasia. Kunci yang hilang tidak dapat dipulihkan melalui API pengguna maupun administrator. Buat pengganti, perbarui pemanggil, lalu hapus kunci lama. Templat integrasi AI dalam Dokumentasi menggunakan placeholder <API_KEY> dan tidak memuat kunci historis.

Bagaimana cara mengirim kunci API?

Kirim kunci API hanya dalam header permintaan. Kami menyarankan:

Authorization: Bearer YOUR_API_KEY

Anda juga dapat menggunakan:

X-API-Key: YOUR_API_KEY

Jangan pernah menempatkan kredensial API API Hop dalam kueri URL. Nama bergaya kredensial (apiKey, api_key, apikey, x-api-key dan key) biasanya memicu HTTP 400. Pengecualian terbatas untuk parameter bisnis Similarweb hanya berlaku bagi permintaan GET: /v1/similarweb/websites/backlinks menerima satu nama host melalui Key dengan huruf K kapital; /v1/similarweb/websites/outgoing-traffic, /websites/incoming-referrals dan /websites/similar-sites/suggestions menerima satu nama host melalui key huruf kecil (semuanya di bawah /v1/similarweb). Kolom ini mengidentifikasi situs web sasaran, bukan kredensial API. Nama host harus valid. Nilai duplikat, kapitalisasi yang salah, nilai yang menyerupai kredensial, dan kolom kueri kredensial tambahan tetap diblokir. Selalu lakukan autentikasi dengan header permintaan, termasuk pada rute Similarweb. Lihat contoh permintaan Similarweb.

Aturan ini tidak memengaruhi parameter bisnis lain seperti OAuth token, apiKeyId, username atau pagination_token.