Autentikasi

Kirim API key di header Authorization dengan skema Bearer pada setiap request ke /v1:

curl -s "https://api.leviacloud.com/v1/regions" \
  -H "Authorization: Bearer sk_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

Jangan menaruh key di URL atau query string.

Format key

Key berbentuk sk_ diikuti 64 karakter heksadesimal. Di dashboard, key ditampilkan sekali saat dibuat. Setelah itu yang terlihat hanya prefix-nya (kolom Prefix di daftar API key), yang juga muncul sebagai pelaku di Log Audit: API key <prefix>/<nama>. Levia hanya menyimpan hash key, jadi key yang hilang tidak bisa ditampilkan lagi. Cabut lalu buat key baru.

Siklus hidup key

Key dikelola di dashboard: Pengaturan Organisasi → API Key.

Aksi	Keterangan
Buat	Pilih nama, deskripsi (opsional), akses per layanan (scope), dan masa berlaku.
Masa berlaku	30, 60, 90 (bawaan), atau 365 hari, tanggal sendiri, atau Selamanya. Tanggal yang sudah lewat ditolak. Key kedaluwarsa ditolak `401`.
Ubah	Ganti nama, deskripsi, scope, atau masa berlaku. Nilai key tidak berubah.
Rotate	Membuat nilai key baru dengan scope yang sama. Key lama berhenti berlaku paling lambat sekitar 10 detik kemudian.
Revoke (cabut)	Key langsung ditolak `401` untuk semua operasi pada resource. Endpoint katalog bisa masih menerima key itu sampai sekitar 10 detik karena cache verifikasi.

Key bertindak sebagai pembuatnya

API key milik organisasi, tetapi setiap request dijalankan atas nama user yang membuat key:

Role user itu di organisasi tetap berlaku. Misalnya, role tanpa akses tagihan tidak bisa membaca billing walau key punya billing:read.
SSH key yang terlihat dan bisa dipakai adalah milik user itu.
Bila user itu dikeluarkan dari organisasi, key-nya tidak bisa dipakai lagi (403).
Resource organisasi lain tidak pernah terlihat: hasilnya 404 atau daftar kosong.

Jaga key tetap aman

API key dengan scope write bisa membuat resource berbayar dan menghapus data. Perlakukan seperti password.

Jangan pernah membagikan key, termasuk di tiket dukungan, chat, atau screenshot. Untuk dukungan, kirim X-Request-Id (lihat Format respons & error).
Jangan commit key ke repository atau menaruhnya di kode frontend. Simpan di secret manager atau variabel lingkungan.
Buat satu key per integrasi dengan scope seminimal mungkin dan masa berlaku terbatas, supaya mudah dicabut tanpa mengganggu integrasi lain.
Cabut key yang bocor atau tidak dipakai lagi.

Error autentikasi

HTTP	`code`	Arti
401	`missing_api_key`	Header `Authorization: Bearer …` tidak dikirim.
401	`invalid_api_key`	Key tidak dikenal, sudah dicabut, atau kedaluwarsa. Alasannya sengaja tidak dibedakan.
403	`insufficient_scope`	Key valid tetapi tidak punya scope endpoint ini. Lihat Scope.
403	`forbidden`	Role pemilik key tidak boleh mengakses area ini, atau pemilik key bukan member organisasi lagi.
429	`too_many_auth_failures`	Lebih dari 30 autentikasi gagal per menit dari satu alamat IP. Tunggu sesuai `Retry-After` (60 detik).

Mulai

Konsep dasar

Panduan produk

Lainnya

Format key

Siklus hidup key

Key bertindak sebagai pembuatnya

Jaga key tetap aman

Error autentikasi

​Format key

​Siklus hidup key

​Key bertindak sebagai pembuatnya

​Jaga key tetap aman

​Error autentikasi

Format key

Siklus hidup key

Key bertindak sebagai pembuatnya

Jaga key tetap aman

Error autentikasi