Bagaimana Anda mengamankan REST API (authentication, authorization, transport)?

Question

IT Interview Practice · Accepted Answer

Mengamankan sebuah REST API berarti menjawab tiga pertanyaan pada setiap request: **siapa Anda** (authentication), **apa yang boleh Anda lakukan** (authorization), dan **apakah kanalnya privat** (transport). Karena REST bersifat **stateless**, kredensial harus berjalan bersama setiap request alih-alih berada dalam session server.

## Transport: selalu HTTPS

Semua hal di bawah mengasumsikan **TLS/HTTPS**. Tanpanya, token dan API key berjalan dalam plaintext dan bisa disadap. Ini tidak bisa ditawar — sebuah bearer token melalui HTTP adalah token yang bocor.

## Opsi authentication

**API key** — sebuah rahasia statis dalam header. Sederhana; bagus untuk server-to-server dan mengidentifikasi sebuah *aplikasi*, bukan seorang user. Lemah sendirian (tanpa kedaluwarsa, tanpa scope) kecuali dipasangkan dengan yang lain.
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — standar untuk akses **terdelegasi** ("biarkan App X membaca data saya tanpa password saya"). Aplikasi memperoleh sebuah **access token** melalui sebuah flow (mis. Authorization Code) dan mengirimnya sebagai bearer token. Beginilah cara "Sign in with Google" dan integrasi pihak ketiga bekerja.

**JWT (JSON Web Token)** — sebuah *format* umum untuk token: token bertanda tangan dan mandiri yang membawa claim (user id, role, kedaluwarsa). Server memverifikasi tanda tangannya — tidak perlu lookup database, yang cocok dengan REST stateless.
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Authorization: scope dan role

Authentication membuktikan identitas; **authorization** memutuskan akses. Token membawa **scope** (`orders:read`, `orders:write`) atau role; server memeriksanya per endpoint dan mengembalikan `403 Forbidden` ketika tidak mencukupi (vs `401` untuk auth yang hilang/tidak valid).

```text
No/invalid token         → 401 Unauthorized
Valid token, no scope    → 403 Forbidden
```

## Esensial lainnya

```text
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
```

## Mengapa ini penting

Keamanan adalah tempat kesalahan kecil menjadi sebuah breach, sehingga pewawancara memakai ini untuk melihat apakah Anda menalarnya secara struktural alih-alih membacakan buzzword. Sinyal yang mereka cari adalah bahwa Anda **memisahkan tiga lapisan** — transport (HTTPS, selalu), authentication (membuktikan identitas, secara stateless, via bearer token/JWT/OAuth), dan authorization (scope dan least privilege) — dan bahwa Anda tidak mencampuradukkannya, mis. menggunakan `401` dengan benar untuk "belum terautentikasi" versus `403` untuk "terautentikasi tetapi tidak diizinkan." Jawaban yang kuat menunjukkan kesadaran akan trade-off praktis: JWT nyaman dan stateless tetapi sulit dicabut sebelum kedaluwarsa (karenanya masa hidup pendek plus refresh token), API key mengidentifikasi aplikasi bukan user, dan OAuth ada secara khusus agar user tidak menyerahkan password mereka ke pihak ketiga. Mengaitkannya dengan statelessness milik REST — kredensial pada setiap request, tanpa session server — menunjukkan Anda memahami *mengapa* keamanan API terlihat seperti sekarang.

Transport: selalu HTTPS

Opsi authentication

Authorization: scope dan role

Esensial lainnya

Mengapa ini penting

Pertanyaan terkait