Kunci API

Gunakan kunci API untuk mengautentikasi permintaan API.

Stripe melakukan autentikasi permintaan API Anda menggunakan kunci API akun. Jika permintaan tidak menyertakan kunci yang valid, Stripe akan mengembalikan kesalahan permintaan yang tidak valid. Jika permintaan menyertakan kunci yang dihapus atau kedaluwarsa, Stripe akan mengembalikan kesalahan autentikasi.

Gunakan Dashboard Pengembang untuk membuat, memperlihatkan, menghapus, dan merotasikan kunci API. Untuk mengakses kunci API v1 Anda, pilih tab Kunci API di Dashboard.

Tipe kunci

Secara default, semua akun memiliki total empat kunci API, dua dalam sandbox dan dua dalam mode live:

Sandbox kunci rahasia: Gunakan kunci ini untuk melakukan autentikasi permintaan pada server saat Anda melakukan percobaan di sandbox. Secara default, Anda dapat menggunakan kunci ini untuk melakukan permintaan API tanpa pembatasan. Simpan kunci ini untuk percobaan dan pengembangan guna memastikan Anda tidak memodifikasi charge atau pelanggan live secara tidak sengaja.
Sandbox kunci yang dapat dipublikasikan: Gunakan kunci ini untuk keperluan percobaan di kode sisi client web atau aplikasi seluler Anda. Simpan kunci ini untuk percobaan dan pengembangan guna memastikan Anda tidak memodifikasi charge atau pelanggan live secara tidak sengaja.
Kunci rahasia mode live: Gunakan kunci ini untuk mengautentikasi permintaan di server Anda saat dalam mode live. Secara default, Anda dapat menggunakan kunci ini untuk melakukan permintaan API apa pun tanpa batasan.
Kunci mode live yang dapat dipublikasikan: Gunakan kunci ini, saat Anda siap meluncurkan aplikasi, di kode sisi klien web atau aplikasi seluler Anda.

Kunci rahasia dan kunci Anda yang dapat dipublikasikan ada di Dashboard pada tab kunci API. Jika Anda tidak dapat melihat kunci API, minta pemilik akun Stripe untuk menambahkan Anda ke tim mereka dengan izin yang sesuai.

Kunci API yang dibatasi

Anda dapat membuat kunci API yang dibatasi di Dashboard untuk mengaktifkan akses yang dapat disesuaikan dan terbatas ke API. Namun, Stripe tidak menawarkan kunci yang dibatasi secara default.

Saat Anda masuk ke Stripe, dokumentasi kami secara otomatis mengisikan contoh kode dengan kunci API percobaan Anda. Hanya Anda yang dapat melihat nilai-nilai ini. Jika Anda tidak masuk, contoh kode kami menyertakan kunci API yang dibuat secara acak. Anda dapat menggantinya dengan kunci percobaan sendiri atau masuk untuk melihat contoh kode yang diisi dengan kunci API percobaan Anda.

Tabel berikut ini menunjukkan contoh yang dibuat secara acak dari kunci API percobaan yang bersifat rahasia dan dapat dipublikasikan:

Tipe	Nilai	Waktu menggunakan
Rahasia	`sk_test_BQokikJOvBiI2HlWgH4olfQ2`	Di sisi server: Harus dirahasiakan dan disimpan dengan aman di kode sisi server web atau aplikasi seluler Anda (seperti dalam variabel lingkungan atau sistem manajemen kredensial) untuk memanggil Stripe API. Jangan memaparkan kunci ini di situs web atau menyematkannya di aplikasi seluler.
Dapat diterbitkan	`pk_test_TYooMQauvdEDq54NiTphI7jx`	Di sisi client: Dapat diakses secara publik di kode sisi client web atau aplikasi seluler Anda (seperti checkout.js) untuk mengumpulkan informasi pembayaran secara aman, seperti dengan Stripe Elements. Secara default, Stripe Checkout mengumpulkan informasi pembayaran dengan aman.
Dibatasi	String yang dimulai dengan `rk_test_`	Dalam layanan mikro: Harus dirahasiakan dan disimpan dengan aman dalam kode layanan mikro Anda untuk memanggil Stripe API. Jangan mengungkapkan kunci ini di situs web atau menyematkannya di aplikasi seluler.

Sandbox versus mode live

Semua permintaan API Stripe terjadi dalam sandbox atau mode live. Gunakan sandbox untuk mengakses data percobaan, dan mode live untuk mengakses data akun aktual. Setiap mode memiliki serangkaian kunci API sendiri. Objek dalam satu mode tidak dapat diakses oleh mode lainnya. Misalnya, objek produk sandbox tidak dapat menjadi bagian dari pembayaran mode live.

Akses kunci mode live

Anda hanya dapat memperlihatkan kunci API yang dibatasi atau rahasia mode live satu kali. Jika kehilangannya, Anda tidak dapat mengambilnya dari Dashboard. Dalam hal ini, rotasikan atau hapus dan buat yang baru.

Tipe	Waktu menggunakan	Objek	Cara menggunakan	Pertimbangan
sandbox	Gunakan sandbox, dan kunci API percobaan yang terkait, saat Anda membuat integrasi. Di sandbox, jaringan kartu dan penyedia pembayaran tidak memproses pembayaran.	API memanggil kembali objek simulasi. Sebagai contoh, Anda dapat mengambil dan menggunakan objek `account`, `payment`, `customer`, `charge`, `refund`, `transfer`, `balance`, dan `subscription` percobaan.	Gunakan kartu kredit dan akun percobaan. Anda tidak dapat menerima metode pembayaran aktual atau menggunakan akun aktual.	Identitas tidak melakukan pemeriksaan verifikasi. Selain itu, objek akun Connect tidak mengembalikan bidang sensitif.
mode live	Gunakan mode live, dan kunci API live yang terkait, saat Anda siap meluncurkan integrasi dan menerima uang aktual. Dalam mode live, jaringan kartu dan penyedia pembayaran akan memproses pembayaran.	API memanggil kembali objek aktual. Sebagai contoh, Anda dapat mengambil dan menggunakan objek `account`, `payment`, `customer`, `charge`, `refund`, `transfer`, `balance`, dan `subscription` aktual.	Terima kartu kredit aktual dan gunakan akun pelanggan. Anda dapat menerima otorisasi pembayaran, charge, dan penarikan aktual untuk kartu kredit dan akun.	Sengketa memiliki alur yang lebih bernuansa dan proses percobaan yang lebih sederhana. Selain itu, beberapa metode pembayaran memiliki alur yang lebih bernuansa dan memerlukan lebih banyak langkah.

Rotasikan kunci API

Merotasikan kunci akan mencabutnya dan menghasilkan kunci pengganti. Anda dapat segera merotasikan kunci atau menjadwalkan kunci untuk berotasi setelah waktu tertentu. Rotasikan kunci dalam skenario seperti contoh berikut:

Jika Anda berada dalam mode live dan kehilangan kunci yang dibatasi atau rahasia, Anda tidak dapat memulihkannya dari Dashboard serta harus menggantinya.
Jika kunci yang dibatasi atau rahasia diretas, Anda harus mencabutnya untuk memblokir permintaan API berpotensi berbahaya yang mungkin menggunakannya.
Kebijakan Anda mengharuskan rotasi kunci pada interval tertentu.

Untuk merotasikan kunci API:

Buka halaman kunci API.
Di baris kunci yang ingin Anda rotasikan, klik menu perluasan (), kemudian pilih Rotasikan kunci.
Pilih tanggal kedaluwarsa dari menu dropdown Kedaluwarsa.
Klik Rotasikan kunci API.
Dialog menampilkan nilai kunci baru. Salin dengan mengekliknya.
Simpan nilai kunci. Anda tidak dapat mengambilnya nanti.
Di bidang Tambahkan catatan, masukkan lokasi tempat Anda menyimpan kunci dan klik Selesai atau Simpan.

Jika Anda memilih Sekarang untuk Kedaluwarsa, kami akan menghapus kunci lama. Jika memilih waktu yang berbeda, Anda dapat melihat sisa waktu hingga kunci tersebut kedaluwarsa di bawah namanya.

Kapan pun waktu kedaluwarsa kunci lama, kunci baru siap digunakan langsung.

Bila Anda merotasikan kunci yang dapat dipublikasikan, nama kunci penggantinya selalu Publishable key. Bila Anda merotasikan kunci rahasia, nama kunci penggantinya selalu Secret key. Bila Anda merotasikan kunci yang dibatasi, nama kunci penggantinya sama dengan kunci yang dirotasikan. Anda dapat mengganti nama kunci yang dibatasi atau rahasia dengan mengeklik menu perluasannya dan memilih Edit kunci.

Lihat log permintaan API

Untuk membuka log permintaan API, klik menu perluasan () untuk mendapat kunci, kemudian pilih Lihat log permintaan. Membuka log akan mengalihkan Anda ke Dashboard Stripe utama.

Kunci yang dibatasi dan rahasia

Gunakan Dashboard untuk membuat, menghapus, memperlihatkan, serta memodifikasi kunci yang dibatasi dan rahasia.

Buat kunci API rahasia

Untuk membuat kunci API rahasia:

Buka halaman kunci API.
Klik Buat kunci rahasia.
Stripe mengirim kode verifikasi ke alamat email Anda atau dalam pesan teks. (Sebagaimana email atau pesan teks lain, kode mungkin tidak langsung diterima.) Masukkan kode dalam dialog. Jika dialog tidak berlanjut secara otomatis, klik Lanjutkan.
Masukkan nama di bidang Nama kunci.
Klik Buat.
Dialog menampilkan nilai kunci baru. Salin dengan mengekliknya.
Simpan nilai kunci. Anda tidak dapat mengambilnya nanti.
Di bidang Tambahkan catatan, masukkan lokasi tempat Anda menyimpan kunci dan klik Selesai.

Buat kunci API yang dibatasi

Kunci API yang dibatasi hanya mengizinkan tingkat akses yang Anda tentukan.

Untuk membuat kunci API yang dibatasi:

Buka halaman kunci API.
Anda dapat membuat kunci yang dibatasi dari nol atau memulai dengan melakukan kloning kunci tersedia yang dibatasi.
- Untuk membuat kunci yang dibatasi dari nol, klik Buat kunci yang dibatasi. Dalam kasus ini, nilai default untuk semua izin adalah Tidak ada.
- Untuk melakukan kloning kunci yang sudah ada, klik menu perluasan () dan pilih Buat duplikat kunci di baris untuk kunci yang ingin Anda kloning. Dalam kasus ini, nilai default untuk setiap izin adalah nilainya di kunci yang dikloning.
Di bidang Nama kunci, masukkan nama. Jika Anda menggandakan kunci yang sudah ada, nama default adalah nama kunci yang digandakan.
Untuk setiap sumber daya yang Anda inginkan agar dapat diakses oleh kunci baru, pilih izin yang ingin Anda perbolehkan untuk kunci tersebut. Jika menggunakan Connect, Anda juga dapat memilih izin untuk mengizinkan kunci ini ketika mengakses akun terhubung. Izin yang tersedia adalah Tidak ada, Baca, atau Tulis.
Klik Buat kunci.
Stripe mengirim kode verifikasi ke alamat email Anda atau dalam pesan teks. (Sebagaimana email atau pesan teks lain, kode mungkin tidak langsung diterima.) Masukkan kode dalam dialog. Jika dialog tidak berlanjut secara otomatis, klik Lanjutkan.
Dialog menampilkan nilai kunci baru. Salin dengan mengekliknya.
Simpan nilai kunci. Anda tidak dapat mengambilnya nanti.
Di bidang Tambahkan catatan, masukkan lokasi tempat Anda menyimpan kunci dan klik Selesai.

Hapus kunci API yang dibatasi atau rahasia

Jika Anda menghapus kunci, kode yang menggunakan kunci tersebut tidak lagi dapat melakukan panggilan API. Setelah Anda menghapus kunci, buat kunci baru dan perbarui kode untuk menggunakannya.

Catatan

Anda tidak dapat menghapus kunci yang dapat dipublikasikan.

Untuk menghapus kunci:

Di Dashboard Pengembang, pilih tab kunci API.
Temukan kunci yang ingin Anda hapus di daftar Kunci standar atau Kunci yang dibatasi. Klik menu perluasan () di baris kunci tersebut, kemudian pilih **Hapus kunci **.
Jika Anda yakin ingin menghapus kunci, klik Hapus kunci di dialog Hapus kunci API. Jika tidak, klik Batalkan.

Perlihatkan kunci API rahasia di sandbox

Dengan sandbox, Anda dapat memperlihatkan kunci API rahasia sebanyak yang diinginkan.

Untuk memperlihatkan kunci rahasia di sandbox:

Di Dashboard Pengembang, pilih tab kunci API.
Di daftar Kunci standar, klik Perllihatkan kunci percobaan di baris Kunci rahasia.
Salin nilai kunci dengan mengekliknya.
Simpan nilai kunci.
Klik Sembunyikan kunci percobaan.

Perlihatkan kunci API yang dibatasi atau rahasia untuk mode live

Dalam mode live, Stripe hanya menampilkan kunci API yang dibatasi atau rahasia satu kali (untuk keperluan keamanan). Simpan kunci di tempat yang tidak akan hilang. Untuk membantu diri Anda mengingat di mana menyimpannya, Anda dapat meninggalkan catatan pada kunci di Dashboard. Jika kehilangan kunci, Anda dapat merotasikan atau menghapusnya dan membuat kunci lain.

Anda tidak dapat memperlihatkan kunci rahasia mode live yang Anda buat

Setelah Anda membuat kunci API yang dibatasi atau rahasia dalam mode live, kami menampilkannya sebelum Anda menyimpannya. Anda harus menyalin kunci sebelum menyimpannya, karena Anda tidak dapat menyalinnya nanti. Anda hanya dapat memperlihatkan kunci rahasia default atau kunci yang dihasilkan oleh rotasi terjadwal.

Untuk memperlihatkan kunci yang dibatasi atau rahasia dalam mode live dan melampirkan catatan:

Catatan

Tautan “kunci API” di sini terbuka dalam mode live.

Di Dashboard Pengembang, pilih tab Kunci API.
Klik Perlihatkan kunci live di daftar Kunci standar atau Kunci yang dibatasi di baris kunci yang ingin Anda perlihatkan.
Salin nilai kunci dengan mengekliknya.
Simpan nilai kunci.
Klik Sembunyikan kunci percobaan.
Klik menu perluasan () di sebelah kunci, dan pilih Edit kunci.
Di bidang Catatan, masukkan lokasi tempat Anda menyimpan kunci, dan klik Simpan.
Jika Anda membuat kunci sebelum Stripe memperkenalkan fitur ini, klik Sembunyikan kunci live.

Catatan

Kunci yang Anda buat sebelum Stripe memperkenalkan fitur ini tidak secara otomatis disembunyikan saat diperlihatkan. Anda harus menyembunyikannya secara manual.

Batasi kunci yang dibatasi atau rahasia pada daftar atau rentang alamat IP

Untuk membatasi permintaan API menggunakan kunci ke satu atau beberapa alamat IP tertentu atau ke rentang alamat IP:

Rentang alamat IP yang valid

Anda dapat menentukan rentang CIDR yang valid. Misalnya, rentang yang valid dapat berupa 100.10.38.0 - 100.10.38.255, yang ditentukan sebagai 100.10.38.0/24. Semua alamat dalam rentang harus dimulai dengan 100.10.38.

Buka halaman kunci API.
Klik menu perluasan () di daftar Kunci standar atau Kunci yang dibatasi di baris kunci yang ingin Anda perlihatkan, dan pilih Kelola pembatasan IP.
Klik Batasi penggunaan pada serangkaian alamat IP.
Masukkan alamat IP atau rentang alamat IP:
- Untuk alamat IP perorangan, masukkan dalam bidang Alamat IP.
- Untuk rentang alamat IP, masukkan rentang dalam notasi Classless Inter-Domain Routing (CIDR). Di bidang Alamat IP, masukkan alamat pertama dalam rentang tersebut. Di bidang CIDR, masukkan ukuran awalan jaringan.
- Anda juga dapat memilih tab Kelola dalam jumlah besar serta memasukkan alamat IP dan rentang perorangan, dipisahkan dengan spasi. Perubahan yang Anda buat di satu tab muncul di tab lain.
Untuk menambahkan alamat atau rentang lain, klik + Tambahkan.
Klik Simpan.

Ubah nama atau catatan kunci API yang dibatasi atau rahasia

Untuk mengubah nama atau teks catatan dari kunci yang dibatasi atau rahasia:

Buka halaman kunci API.
Klik menu perluasan () di baris kunci yang ingin Anda ubah, dan pilih Edit kunci.
Jika Anda ingin mengubah nama, di Nama kunci, masukkan nama baru.
Jika Anda ingin mengubah teks catatan, di Catatan, masukkan teks catatan baru.
Klik Simpan.

Simpan kunci Anda dengan aman

Siapa saja dapat menggunakan kunci API rahasia mode live Anda untuk melakukan segala panggilan API atas nama akun Anda, seperti membuat charge atau melakukan pengembalian dana. Tetap amankan kunci Anda dengan mengikuti praktik terbaik kunci API rahasia.