Skip to main content
Anda tidak memerlukan OAuth untuk menggunakan Public API. Untuk integrasi privat di sisi server, mulailah dengan Kunci API yang dibatasi cakupannya dan ikuti panduan memulai. Pilih kredensial klien OAuth jika kebijakan keamanan Anda mewajibkan token akses berumur pendek atau platform integrasi Anda sudah mendukung alur tersebut. Kedua opsi menggunakan akun layanan. Akun layanan adalah identitas integrasi, bukan metode autentikasi ketiga.

​
Bagaimana setiap komponen saling terkait

Buat satu akun layanan untuk setiap integrasi. Pilih Kunci API atau klien OAuth untuk akun tersebut; Anda tidak memerlukan kedua metode pada setiap permintaan API. Kedua kredensial tidak dapat melampaui izin akun saat ini. Panduan memulai menggunakan autentikasi Basic. Header Bearer juga didukung untuk Kunci API; penggunaan header tersebut tidak berarti Anda memerlukan klien OAuth.

​
Pilih Kunci API untuk integrasi yang sederhana

Gunakan Kunci API untuk tugas terjadwal, skrip pelaporan, pipeline data, atau layanan backend lainnya milik Anda, jika secret yang disimpan di secret manager Anda sesuai dengan persyaratan keamanan Anda.
  • Kirim permintaan terautentikasi secara langsung; tidak diperlukan pertukaran token.
  • Pilih hanya izin yang dibutuhkan oleh beban kerja dan tetapkan masa berlaku.
  • Rotasikan kunci menggunakan periode tumpang tindihnya, atau cabut segera jika terekspos.
Integrasi dengan Kunci API tidak memerlukan klien OAuth. Mulailah dengan panduan memulai, lalu lihat Kunci API untuk pembuatan dan rotasi.

​
Pilih OAuth untuk token akses berumur pendek

Gunakan kredensial klien OAuth untuk layanan backend confidential jika organisasi Anda mewajibkan token akses yang kedaluwarsa atau alat integrasi mengharapkan grant client_credentials.
  1. Buat klien OAuth dengan cakupan terbatas untuk akun layanan.
  2. Autentikasi klien ke endpoint token regional Anda menggunakan metode autentikasi klien yang diberikan selama penyiapan.
  3. Kirim token akses yang dihasilkan bersama permintaan API Anda. Dapatkan token baru sebelum token saat ini kedaluwarsa.
OAuth menambahkan perolehan token dan penanganan kedaluwarsa ke integrasi Anda. Secret klien tetap memerlukan penyimpanan dan rotasi yang aman; token berumur pendek tidak menghilangkan tanggung jawab tersebut. Kredensial klien tidak menggunakan refresh token: autentikasi klien kembali untuk memperoleh token akses baru. Akses OAuth harus diaktifkan untuk organisasi Anda. Jika belum diaktifkan, gunakan Kunci API atau hubungi Dukungan Living Security mengenai kebutuhan Anda. Lihat Kredensial klien OAuth untuk pembuatan klien, secret sekali tampil, pencabutan, dan pemulihan.

​
Simpan kredensial di backend Anda

Kunci API akun layanan dan secret klien OAuth harus disimpan di penyimpanan secret sisi server. Jangan menempatkannya di kode browser, aplikasi seluler, kontrol sumber, atau log. Kredensial akun layanan bertindak sebagai beban kerja; kredensial tersebut tidak memasukkan seseorang ke dalam sesi masuk dan tidak menyediakan alur persetujuan pelanggan. Gunakan host API regional untuk organisasi Anda dengan kedua metode. Mengganti metode autentikasi tidak mengubah URL sumber daya, versi API, atau izin yang diperlukan oleh suatu operasi.