Manajemen Multi-Tenant API Keys

Untuk mengizinkan klien AI eksternal (seperti Claude Desktop, Cursor, skrip otomasi, atau framework ZeroClaw) berinteraksi dengan perangkat fisik Anda melalui MCP Hub, Anda memerlukan Kunci API (API Key) resmi GoSosmed.

Halaman ini memandu pembuatan, rotasi, pencabutan, dan praktik keamanan kunci API Anda.

Kunci API dikelola sepenuhnya melalui antarmuka web dasbor:

Masuk ke app.bamsbung.id.
Di bilah navigasi samping, klik Pengaturan (Settings).
Buka tab Kunci API (API Keys) atau navigasikan langsung ke tautan /settings#api-keys.

Langkah Membuat Kunci API Baru

Pada halaman Kunci API, klik tombol Buat Kunci Baru (Generate New Key).
Masukkan Nama Label Kunci yang deskriptif untuk memudahkan pelacakan di masa mendatang. Contoh label yang baik:
- Claude Desktop - MacBook Kantor
- Cursor IDE - Mesin Dev Ubuntu
- Agent ZeroClaw - Server Produksi
Pilih cakupan lingkungan:
- Produksi (Production): Menghasilkan token berawalan gsk_live_... untuk mengakses endpoint produksi resmi (api.bamsbung.id).
- Pengembangan (Development): Menghasilkan token berawalan gsk_test_... untuk pengujian di lingkungan dev (dev-api.bamsbung.id).
Klik Simpan & Tampilkan Kunci.
Salin string kunci rahasia yang ditampilkan ke pengelola kata sandi atau berkas konfigurasi lokal Anda.

Format Standar Kunci API GoSosmed

Kunci API GoSosmed memiliki struktur seragam yang mudah dikenali:

Prefiks Kunci	Lingkungan	Contoh Format
`gsk_live_`	Produksi Resmi	`gsk_live_9d81a2e7c3b4f501824abced...`
`gsk_test_`	Pengembangan / Dev	`gsk_test_109c82ba7e4412ef0182bcde...`

Prefiks gsk_ (GoSosmed Key) memudahkan pemindaian alat keamanan (secret scanner seperti GitGuardian atau GitHub Secret Scanning) untuk mencegah kunci terunggah secara tidak sengaja ke repositori publik.

Isolasi Tingkat Ruang Kerja (Tenant Isolation)

Setiap Kunci API memiliki properti keamanan ketat:

Terikat Ruang Kerja (Tenant): Kunci terikat langsung ke ID ruang kerja akun Anda.
Isolasi Device & Akun: Klien yang menggunakan kunci tersebut hanya memiliki akses ke perangkat Android dan akun sosial media yang terdaftar pada ruang kerja tersebut. Klien tidak akan pernah bisa mengakses atau melihat perangkat milik pengguna lain.
Batas Tingkat Panggilan (Rate Limiting): Panggilan API dan tool call dilindungi oleh pembatas laju panggilan (rate limiter) untuk mencegah lonjakan pemanggilan yang tidak disengaja.

Praktik Terbaik Pengelolaan & Rotasi Kunci

Gunakan Kunci Berbeda untuk Setiap Aplikasi: Jangan menggunakan satu kunci yang sama untuk Claude Desktop, Cursor, dan skrip server sekaligus. Dengan membuat kunci terpisah untuk setiap aplikasi, Anda dapat melacak penggunaan masing-masing dan mencabut salah satu kunci tanpa mengganggu aplikasi lainnya.
Gunakan Variabel Lingkungan (.env): Jangan menaruh Kunci API di dalam kode program (hardcode). Simpan di dalam berkas .env dan pastikan berkas tersebut masuk ke dalam .gitignore.
Rotasi Berkala: Lakukan rotasi kunci setiap 90 hari atau setiap kali ada anggota tim yang berpindah peran. Buat kunci baru terlebih dahulu, perbarui konfigurasi klien, lalu hapus kunci yang lama.
Pencabutan Instan (Revocation): Bila Anda mencurigai Kunci API Anda telah terekspos (misalnya terunggah ke repositori publik), segera buka /settings#api-keys, temukan kunci tersebut, lalu klik Cabut Akses (Revoke). Kunci yang dicabut akan langsung ditolak oleh server dalam hitungan detik.

Audit Penggunaan

Di bawah daftar Kunci API, dasbor menyediakan ringkasan log:

Terakhir Digunakan (Last Active): Waktu terakhir kunci melakukan panggilan tool MCP.
Alamat IP Pemanggil: Mengetahui asal koneksi klien AI Anda.
Total Panggilan Tool: Statistik jumlah aksi yang telah dieksekusi oleh kunci tersebut.