Autentikasi & API Key

Satu jenis kredensial untuk semua akses programmatic Hubina: API key per akun. Key yang sama dipakai sebagai Bearer token di REST API dan sebagai kata sandi SMTP.

Membuat API key

  1. Masuk ke dashboard, buka API Keys.
  2. Buat key dengan nama yang menggambarkan pemakaiannya (mis. server-produksi).
  3. Salin nilainya saat itu juga. Key hanya ditampilkan sekali saat dibuat; setelah itu hanya nama dan awalan key (hb_live_…) yang terlihat.

Perlakukan API key seperti kata sandi Simpan di secret manager atau environment variable server. Jangan commit ke repository, jangan pakai di kode frontend/browser, dan jangan kirim lewat chat.

Format dan penyimpanan

AspekPerilaku
Formathb_live_ diikuti 43 karakter acak (total 51 karakter)
Penyimpanan di serverHanya hash SHA-256 yang disimpan; nilai asli tidak bisa ditampilkan ulang
PencabutanLangsung berlaku. Key yang dicabut ditolak untuk REST API maupun SMTP
PelacakanSetiap key punya waktu pemakaian terakhir, terlihat di dashboard

Memakai key di REST API

Kirim key di header Authorization dengan skema Bearer (skema boleh dihilangkan, tapi disarankan tetap dipakai):

http
Authorization: Bearer hb_live_YOUR_API_KEY

Key tanpa hak akses, key yang dicabut, dan key yang salah menghasilkan 401 unauthorized:

401
{
  "error": "unauthorized",
  "message": "Kredensial API tidak valid."
}

Memakai key di SMTP

Saat AUTH (setelah STARTTLS), username diisi api dan password diisi API key. Autentikasi tidak pernah diterima sebelum TLS aktif. Detailnya di halaman SMTP.

Cakupan dan batasan

  • Key mewakili akun, bukan satu domain. Semua domain terverifikasi di akun itu bisa dipakai mengirim dengan key tersebut.
  • Rate limit dihitung per kombinasi akun + key (60 permintaan per menit untuk REST API; lihat REST API dan Batasan).
  • Key tidak bisa membuat, memverifikasi, atau menghapus domain — pengelolaan domain hanya lewat dashboard dengan sesi login.
  • Key tidak bisa dipakai membaca log pengiriman lewat REST API saat ini; pantau pengiriman di dashboard.

Rotasi dan pencabutan

  1. Buat key baru dengan nama baru (mis. server-produksi-v2).
  2. Deploy key baru ke aplikasi Anda, pastikan pengiriman normal.
  3. Cabut key lama dari dashboard. Pencabutan berlaku seketika untuk REST API dan SMTP.

Jika sebuah key pernah terekspos, cabut segera — jangan menunggu rotasi bertahap. Saldo dan riwayat pengiriman tidak terpengaruh oleh pencabutan key.

Di halaman ini