Autentikasi API Key

API menggunakan dua jenis autentikasi:

1. API key — untuk endpoint API biasa dan integrasi server/admin.
2. User-session token — untuk endpoint /me/*, diterbitkan lewat POST /sessions.

API key dibuat dari dashboard WordPress melalui custom post type API Keys.

Format API Key

Format API key:

sejoliapi_<prefix>_<secret>

Contoh:

sejoliapi_ab12cd34_1234567890abcdef1234567890abcdef

Header Authorization

Cara utama mengirim API key adalah melalui header Authorization:

Authorization: Bearer sejoliapi_<prefix>_<secret>

Contoh:

curl \
  -H "Authorization: Bearer sejoliapi_ab12cd34_1234567890abcdef" \
  "https://domain-anda.com/wp-json/sejoli/v1/orders"

Header X-Sejoli-Key

Alternatif lain, API key dapat dikirim melalui header X-Sejoli-Key:

X-Sejoli-Key: sejoliapi_<prefix>_<secret>

Contoh:

curl \
  -H "X-Sejoli-Key: sejoliapi_ab12cd34_1234567890abcdef" \
  "https://domain-anda.com/wp-json/sejoli/v1/orders"

Cara Validasi API Key

Saat request masuk, API akan:

1. 1
   Step 1: Baca header

   Membaca header Authorization atau X-Sejoli-Key.

2. 2
   Step 2: Cek format token

   Mengecek format token.

3. 3
   Step 3: Cari API key

   Mencari API key berdasarkan prefix.

4. 4
   Step 4: Verifikasi secret

   Memverifikasi secret menggunakan hash.

5. 5
   Step 5: Baca scopes

   Membaca scopes yang dimiliki API key.

6. 6
   Step 6: Cek scope endpoint

   Mengecek apakah scope cukup untuk endpoint yang diakses.

7. 7
   Step 7: Update timestamp

   Memperbarui waktu terakhir digunakan.

User-session Token Untuk /me

Endpoint /me/* tidak memakai API key secara langsung. Endpoint tersebut memakai user-session token yang diterbitkan oleh:

POST /wp-json/sejoli/v1/sessions

POST /sessions sendiri tetap dilindungi API key dan membutuhkan scope sessions:write.

Setelah token diterbitkan, gunakan header:

Authorization: Bearer <user_session_token>

Scope Wajib

Setiap endpoint membutuhkan scope tertentu. Contoh:

Jika scope tidak sesuai, API akan mengembalikan error:

{
  "code": "rest_forbidden",
  "message": "Insufficient scope.",
  "data": {
    "status": 403
  }
}

Tips Keamanan

• Gunakan scope seminimal mungkin.
• Buat API key berbeda untuk setiap aplikasi/integrasi.
• Jangan menyimpan API key di frontend publik.
• Rotasi API key jika dicurigai bocor.
• Hapus API key yang sudah tidak digunakan.