Otentikasi REST API adalah mekanisme verifikasi identitas klien (seperti aplikasi frontend, server pihak ketiga, atau perangkat mobile) sebelum memberikan akses ke endpoint server. Pemilihan metode otentikasi yang tepat menentukan tingkat keamanan data, performa sistem, serta kemudahan integrasi layanan. Empat metode paling umum yang digunakan dalam arsitektur perangkat lunak modern meliputi HTTP Basic Authentication, API Key, OAuth 2.0, dan JSON Web Token (JWT).
Matriks Perbandingan Metode Otentikasi REST API
| Metode | Tingkat Keamanan | Kasus Penggunaan Utama | Kompleksitas Implementasi |
|---|---|---|---|
| HTTP Basic | Rendah (Wajib HTTPS) | Sistem internal, pengujian lokal, atau router | Sangat Mudah |
| API Key | Sedang | Identifikasi klien, pelacakan kuota, publik API sederhana | Mudah |
| OAuth 2.0 | Sangat Tinggi | Delegasi akses pihak ketiga (Google/Login Facebook) | Tinggi |
| JWT (Bearer Token) | Tinggi | Single Page Application (SPA), arsitektur microservices | Sedang |
1. HTTP Basic Authentication
Metode ini mengirimkan kredensial berupa nama pengguna (username) dan kata sandi (password) pada setiap permintaan HTTP di dalam header Authorization. Kredensial tersebut dikodekan menggunakan format Base64.
Contoh Implementasi Header HTTP Basic:
GET /api/v1/resource HTTP/1.1
Host: api.example.com
Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=
Tips Keamanan: Jangan pernah menggunakan HTTP Basic melalui jaringan HTTP biasa karena string Base64 sangat mudah didekode kembali menjadi teks mentah. Selalu gunakan protokol HTTPS.
2. API Key
API Key adalah string unik yang dihasilkan oleh server dan diberikan kepada klien. Klien wajib menyertakan kunci ini pada setiap permintaan, biasanya melalui header HTTP khusus, parameter query URL, atau cookie.
Contoh Penggunaan API Key via Header:
GET /api/v1/data?limit=10 HTTP/1.1
Host: api.example.com
x-api-key: a1b2c3d4e5f67890abcdef
API Key sangat efektif untuk melacak penggunaan data dan membatasi kuota (rate limiting), namun kurang aman jika diletakkan di sisi klien publik (seperti JavaScript frontend) karena mudah dicuri.
3. OAuth 2.0
OAuth 2.0 bukan sekadar token, melainkan sebuah kerangka kerja otorisasi industri yang memungkinkan aplikasi pihak ketiga mendapatkan akses terbatas ke sumber daya pengguna tanpa harus menyerahkan kata sandi asli.
Alur Kerja Umum OAuth 2.0:
- Klien mengarahkan pengguna ke server otorisasi.
- Pengguna melakukan login dan memberikan izin (consent) kepada aplikasi.
- Server otorisasi mengembalikan kode otorisasi (authorization code) ke klien.
- Klien menukar kode tersebut dengan Access Token melalui permintaan backend.
- Klien menggunakan Access Token untuk mengakses REST API sumber daya.
4. JSON Web Token (JWT)
JWT adalah standar terbuka (RFC 7519) yang mendefinisikan cara aman untuk mentransmisikan informasi antar pihak sebagai objek JSON. Token ini ditandatangani secara digital menggunakan kunci rahasia (HMAC) atau kunci publik/privat (RSA).
Contoh Penggunaan Bearer Token (JWT):
GET /api/v1/profile HTTP/1.1
Host: api.example.com
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
Langkah Teknis Validasi JWT di Server:
- Ekstrak token dari header
Authorization: Bearer [token]. - Verifikasi tanda tangan digital (signature) menggunakan kunci rahasia server.
- Periksa klaim kedaluwarsa (
expclaim) untuk memastikan token belum kadaluarsa. - Baca data payload (seperti ID pengguna dan peran) untuk mengizinkan atau menolak akses.
Troubleshooting & Praktik Terbaik
Pastikan token atau kunci rahasia tidak pernah disimpan secara hardcode di dalam repositori publik seperti GitHub. Gunakan environment variables (.env). Terapkan masa kedaluwarsa token yang pendek untuk Access Token dan gunakan Refresh Token untuk memperbarui sesi pengguna secara aman.