Autentikasi

Setiap request ke H2H API wajib terautentikasi.

API key

Kirim API key akses H2H Anda di salah satu header:

x-api-key: YOUR_API_KEY

Authorization: Bearer YOUR_API_KEY

Jangan mengekspos API key di frontend publik, repo terbuka, atau chat.

Syarat akses

Request diterima jika kondisi berikut terpenuhi:

1. Anda sudah memiliki akses H2H yang aktif
2. API key valid
3. Akun dalam status aktif
4. IP pengirim ada di whitelist
5. Belum melebihi rate limit

IP whitelist (wajib)

Whitelist IP adalah lapisan keamanan utama.

• Minimal 1 IP aktif harus terdaftar sebelum API bisa dipakai
• Cocokkan dengan IP publik server yang memanggil API
• Format IPv4: alamat exact (203.0.113.10) atau CIDR (203.0.113.0/24)
• IPv6: gunakan exact match

Jika IP ditolak, response mirip:

{
  "statusCode": 401,
  "message": "IP_NOT_WHITELISTED",
  "error": "IP Address: 2402:8780:...."
}

Field error menampilkan IP yang dilihat server — itulah yang perlu ditambahkan ke whitelist.

Rate limit

Batas default: 60 request / menit.

Jika terlampaui, API mengembalikan HTTP 429. Tunggu sebentar lalu coba lagi, dan pertimbangkan backoff di client Anda.

Praktik aman

• Simpan key di environment variable / secret manager
• Rotasi key jika bocor (hubungi support untuk regenerate)
• Whitelist hanya IP produksi yang benar-benar dipakai