Autentikasi

Buat akun Meshy dan kunci API, lalu kirim kunci tersebut dengan setiap permintaan.

Kunci API

Membuat akun Meshy

Anda memerlukan akun Meshy untuk membuat dan mengelola kunci API. Permintaan tanpa kunci API akan mengembalikan 401 Unauthorized.

Untuk membuat akun, daftar di situs web Meshy.

Membuat kunci API

Setelah Anda membuat akun, Anda dapat membuat kunci API di halaman API Keys pada Developer Platform.

Anda dapat membuat beberapa kunci API untuk tujuan yang berbeda, misalnya satu untuk aplikasi iOS Anda dan satu lagi untuk aplikasi web Anda. Meshy melacak penggunaan setiap kunci secara terpisah, dan Anda dapat mencabut kunci kapan saja.

Anda juga dapat menetapkan batas kredit bulanan pada kunci mana pun. Batas ini membatasi jumlah yang dapat dibelanjakan oleh kunci tersebut, terlepas dari penggunaan keseluruhan akun Anda. Misalnya, gunakan ini untuk kunci yang Anda berikan kepada kontraktor atau gunakan di satu lingkungan tertentu.

Dialog Create API Key, dengan kolom batas kredit bulanan opsional

Untuk membuat kunci API, ikuti langkah-langkah berikut:

Di halaman API Keys, klik Create API Key.
Di Name, masukkan nama untuk kunci tersebut.
Opsional: Di Monthly credit limit (optional), masukkan jumlah kredit maksimum yang dapat dibelanjakan kunci tersebut setiap bulan.
Klik Create.
Salin kunci tersebut, dan simpan di tempat yang aman. Anda tidak dapat melihat kunci tersebut lagi setelah Anda menutup dialog.

Menggunakan kunci API

Kirim kunci API di header Authorization pada setiap permintaan, sebagai token Bearer:

{
  "Authorization": "Bearer msy_sOmEbOgUsApIkEyFoReXaMpLe1234567890"
}

Awalan Bearer pada nilai header diperlukan. Untuk informasi lebih lanjut tentang bearer token, lihat RFC 6750.

Membatasi kunci ke alamat IP

Daftar IP yang diizinkan (IP allowlist) membatasi kunci API agar hanya dapat digunakan dari alamat tempat permintaan Anda berasal, seperti alamat keluar (egress) publik server Anda. Meshy kemudian akan menolak kunci tersebut dari alamat lain mana pun, sehingga kunci yang disalin menjadi jauh kurang berguna. Kunci tanpa daftar yang diizinkan dapat berfungsi dari alamat mana pun.

Untuk kunci milik tim, hanya admin tim yang dapat mengubah daftar yang diizinkan. Kunci CLI tidak memilikinya.

Untuk menetapkan daftar yang diizinkan, ikuti langkah-langkah berikut:

Di halaman API Keys, buka menu kunci tersebut dan klik Manage IP allowlist.
Tambahkan setiap alamat atau rentang. Opsional: beri nama untuk masing-masing, misalnya office NAT.
Opsional: klik Check impact untuk melihat berapa banyak permintaan kunci tersebut dalam 7 hari terakhir yang akan diblokir oleh daftar tersebut.
Simpan daftar tersebut.

Setiap entri adalah satu alamat IPv4 atau IPv6, seperti 203.0.113.5, atau blok CIDR, seperti 203.0.113.0/24. Daftar tersebut mengikuti aturan berikut:

Satu kunci dapat memiliki hingga 50 entri, dan satu nama dapat berisi hingga 60 karakter.
Entri harus berupa alamat publik. Meshy menolak alamat privat, loopback, dan link-local, seperti 10.0.0.0/8 atau 127.0.0.1, karena tidak ada permintaan yang mencapai API dari alamat tersebut. Gunakan alamat publik tempat lalu lintas Anda keluar.
Entri tidak boleh mengizinkan semua alamat, seperti 0.0.0.0/0. Untuk menerima alamat apa pun, hapus daftar yang diizinkan.
Meshy menyimpan blok CIDR sebagai alamat jaringannya. Misalnya, 203.0.113.5/24 disimpan sebagai 203.0.113.0/24, yang merupakan rentang yang diberlakukan oleh Meshy.

Dialog tersebut juga menampilkan daftar alamat yang menggunakan kunci tersebut dalam 7 hari terakhir, sehingga Anda dapat menambahkannya secara langsung. Untuk kunci yang sibuk, Meshy mengambil sampel alamat, sehingga daftar tersebut mungkin tidak menampilkan semuanya.

Perubahan berlaku pada permintaan berikutnya, dalam waktu paling lama satu menit. Setelah Anda menghapus daftar yang diizinkan, alamat mana pun dapat menggunakan kunci tersebut lagi dalam waktu satu menit.

Permintaan dari alamat di luar daftar yang diizinkan akan mengembalikan 403 Forbidden dengan kode error ip_not_authorized. Pesan error menyebutkan alamat yang ditolak, sehingga Anda dapat menambahkannya jika itu milik Anda. Permintaan yang ditolak tidak menggunakan kredit atau dihitung terhadap rate limit Anda.

Keamanan

Ikuti panduan berikut untuk menjaga keamanan data dan permintaan Anda, selain praktik keamanan tim Anda sendiri.

Transport Layer Security

Meshy mengenkripsi data Anda saat disimpan (at rest), dan Meshy API menggunakan TLS untuk mengenkripsi data yang sedang dikirim (in transit). Semua permintaan ke dan dari API menggunakan HTTPS, dan permintaan melalui HTTP akan mendapatkan 301 Moved Permanently.

Hindari HTTP jika memungkinkan. Jika Anda harus mengirim permintaan melalui HTTP, beri tahu klien HTTP Anda untuk mengikuti pengalihan ke HTTPS. Contoh berikut menunjukkan caranya:

Follow HTTP to HTTPS redirections

# use `-L` to follow HTTP to HTTPS redirections
curl -L https://api.meshy.ai/openapi/v1/balance \
  -H "Authorization: Bearer ${YOUR_API_KEY}"

Pengalihan hanya berfungsi untuk permintaan GET. Klien HTTP mengirim ulang POST yang dialihkan sebagai GET tanpa isinya (body), jadi selalu panggil https:// secara langsung untuk membuat tugas (task).

Keamanan kunci API

Setelah Anda membuat kunci API, Developer Platform tidak akan menampilkannya lagi. Simpan di tempat yang aman, karena siapa pun yang memiliki kunci tersebut dapat memanggil Meshy API sebagai Anda. Anggota tim Meshy juga tidak dapat melihat atau memulihkan kunci yang sudah dicabut untuk Anda.

Jika Anda menduga orang lain memiliki kunci Anda, cabut kunci tersebut di halaman API Keys. Kunci yang sudah dicabut tidak akan berfungsi lagi.

Daftar IP yang diizinkan membuat kunci yang bocor menjadi jauh kurang berguna, tetapi itu tidak menggantikan pencabutan kunci. Jika sebuah kunci bocor, cabut kunci tersebut dan buat yang baru.

Pengungkapan keamanan

Jika Anda menemukan masalah keamanan pada Meshy API, hubungi dukungan Meshy. Meshy menghargai pengungkapan yang bertanggung jawab dan berupaya sebaik mungkin untuk mengakui kontribusi Anda.