Kepiye carane ngamanake REST API (autentikasi, otorisasi, transport)?

Question

IT Interview Practice · Accepted Answer

Ngamanake REST API ateges njawab telung pitakonan ing saben request: **sapa kowe** (authentication), **apa sing kena koktindakake** (authorization), lan **apa saluran iki pribadi** (transport). Amarga REST iku **stateless**, kredensial kudu mlaku bareng saben request tinimbang manggon ing session server.

## Transport: tansah HTTPS

Kabeh ing ngisor iki nganggep ana **TLS/HTTPS**. Tanpa iku, token lan API key mlaku dadi plaintext lan bisa disadap. Iki ora bisa ditawar — bearer token liwat HTTP iku token sing wis bocor.

## Pilihan autentikasi

**API key** — rahasia statis ing header. Prasaja; apik kanggo server-to-server lan ngidentifikasi *aplikasi*, dudu user. Lemah dhewekan (ora ana kadaluwarsa, ora ana scope) kajaba dipasangi luwih akeh.
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — standar kanggo akses **didelegasikan** ("ngidini App X maca dataku tanpa passwordku"). App entuk **access token** liwat sawijining flow (contone Authorization Code) lan ngirim minangka bearer token. Iki carane "Sign in with Google" lan integrasi pihak katelu mlaku.

**JWT (JSON Web Token)** — *format* umum kanggo token: token sing ditandhatangani, mandhiri, nggawa claim (user id, role, kadaluwarsa). Server ngverifikasi tandha tangan — ora butuh lookup database, sing cocog karo REST stateless.
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Otorisasi: scope lan role

Autentikasi mbuktekake identitas; **otorisasi** nemtokake akses. Token nggawa **scope** (`orders:read`, `orders:write`) utawa role; server mriksa dheweke saben endpoint lan mbalekake `403 Forbidden` nalika kurang (lawan `401` kanggo auth sing ora ana/ora valid).

```text
Ora ana/token ora valid   → 401 Unauthorized
Token valid, ora ana scope → 403 Forbidden
```

## Perkara wigati liyane

```text
✓ Access token cendhak umure + refresh token (matesi radius ledakan yen bocor)
✓ Rate limiting (429) kanggo nyuda brute-force lan penyalahgunaan
✓ Validasi/sanitasi kabeh input; aja tau percaya client
✓ Prinsip least privilege ing scope
```

## Kenapa iki penting

Keamanan iku papan ing ngendi kesalahan cilik dadi pelanggaran, mula pewawancara nganggo iki kanggo ndeleng apa kowe menalar kanthi struktural tinimbang mung ngucapake buzzword. Sinyal sing digoleki yaiku yen kowe **misahake telung lapisan** — transport (HTTPS, tansah), authentication (mbuktekake identitas, kanthi stateless, liwat bearer token/JWT/OAuth), lan authorization (scope lan least privilege) — lan yen kowe ora nyampur adhukake dheweke, contone nganggo `401` kanthi bener kanggo "durung diautentikasi" lawan `403` kanggo "wis diautentikasi nanging ora diidini." Jawaban sing kuat nuduhake kesadaran trade-off praktis: JWT iku penak lan stateless nanging angel dicabut sadurunge kadaluwarsa (mula umur cendhak plus refresh token), API key ngidentifikasi aplikasi dudu user, lan OAuth ana khusus supaya user ora ngulungake passworde menyang pihak katelu. Nyambungake iki karo statelessness REST — kredensial ing saben request, ora ana session server — nuduhake yen kowe mangerteni *kenapa* keamanan API katon kaya ngono.

Transport: tansah HTTPS

Pilihan autentikasi

Otorisasi: scope lan role

Perkara wigati liyane

Kenapa iki penting

Pitakon sing gegandhengan