Autentikasi & Keamanan API
Kunci API di header Authorization, izin per kunci, batasi IP, dan praktik aman.
± 3 menit
Semua endpoint memakai kunci API di header — tanpa login, cookie, atau OAuth.
Header Authorization#
Header
Authorization: Bearer cswa_live_XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX- Awalan
cswa_live_= kirim sungguhan,cswa_test_= simulasi. - Kunci di URL (mis. ?api_key=) ditolak dengan galat 400.
- Kunci disimpan dalam bentuk hash — kami tidak bisa menampilkannya lagi. Lupa? Rotasi atau buat kunci baru.
Izin (scope)#
pesan:baca | Kanal, percakapan, riwayat pesan, status kiriman & media. |
|---|---|
pesan:kirim | Kirim pesan satu per satu dan unggah media. |
kontak:baca | Cari dan baca kontak beserta tag-nya. |
kontak:tulis | Buat atau perbarui kontak, tambah dan lepas tag. |
broadcast:kelola | Buat, pantau, jeda, dan lanjutkan broadcast. |
template:baca | Daftar template resmi Meta beserta statusnya. |
inbox:kelola | Tugaskan percakapan, tandai selesai, dan tulis catatan internal. |
ai:kelola | Hentikan, lanjutkan, atau serahkan AI Agent ke CS per percakapan. |
webhook:kelola | Kelola URL webhook, uji kirim, dan kirim ulang. |
followup:kelola | Daftar, buat, jeda, dan lanjutkan follow up WhatsApp, serta antrean per kontak. |
pesanan:baca | Pesanan Inbox & halaman toko, tagihan, dan status bayar. |
pesanan:tulis | Buat tagihan (Mayar/transfer) dan isi resi. |
tiket:kelola | Baca dan ubah status tiket, serta daftar survei kepuasan. |
analitik:baca | Angka WhatsApp yang sama dengan halaman Analitik. |
Izin tidak bisa melebihi paket Profil. Bila paket berubah, izin yang tidak lagi termasuk paket ditolak (403 fitur_tidak_aktif).
Batasi IP#
Opsional: isi daftar IP atau CIDR server Anda saat membuat kunci. Permintaan dari IP lain ditolak 403 ip_tidak_diizinkan.
Praktik aman#
- Satu kunci per sistem, izin seperlunya; cabut kunci yang tak dipakai.
- Rotasi kunci berkala — kunci lama langsung tidak berlaku.
- Kunci yang terlalu sering ditolak (403/404/429) diblokir sementara 15 menit; IP yang berulang memakai kunci salah juga diblokir sementara.
- API khusus server-ke-server: tidak ada CORS, jadi tak bisa dipanggil dari peramban.