1. Login menggunakan akun

Cukup username dan password. Role dan client ditentukan server dari akunmu. Endpoint login tidak membutuhkan bearer; field client opsional untuk memilih membership lain yang sudah diizinkan. Data tetap terisolasi per client.

POST /auth/login
Content-Type: application/json

{
  "username": "{{username}}",
  "password": "{{password}}",
  "client": "{{client_slug}}"
}

Respons200 berisi token sesi dan identitas client. Contoh berikut memakai placeholder:

{
  "token": "<token-sesi>",
  "principal": {
    "client_id": "<UUID-client>",
    "client_slug": "<slug-client>",
    "user_id": "<UUID-user>",
    "username": "<username>",
    "role": "admin",
    "kind": "session",
    "scope": "data:read",
    "platform_admin": false,
    "expires_at": "<waktu-RFC3339>"
  }
}

2. Pakai token untuk request

Sesi berlaku satu jam. Client ditentukan oleh token yang terverifikasi; tidak memakai header client bebas.

GET /auth/me
Authorization: Bearer <token-sesi>

GET /api/v1/data-status
Authorization: Bearer <token-sesi>

Untuk keluar, kirim POST /auth/logout dengan bearer sesi. Respons204; sesi yang dicabut ditolak401. Tidak ada refresh token.

3. Buat API key integrasi

Gunakan sesi admin client. Key lengkap hanya dikirim sekali; simpan di secret server/BFF.

POST /auth/keys
Authorization: Bearer <token-sesi-admin>
Content-Type: application/json

{"name":"website utama","scope":"data:read","expires_in_days":30}

Respons201 berisi {data: metadata_key, token: key_lengkap}. Key REST memakai scope data:read, key MCP mcp:read. Key tidak bisa mengelola user/client/key. Cabut menggunakan DELETE /auth/keys/{id} dengan sesi admin.

4. Import ke Postman

1. Download dan import kedua file di atas.
2. Pilih environment pantau-mala · dev; isi username, password dan client_slug secara lokal. Biarkan client_slug kosong untuk login biasa. Isi hanya untuk memilih membership client lain yang sudah diizinkan. Sesuaikan base_url bila perlu.
3. Kirim request Login akun di folder Autentikasi. Skrip menyimpan session_token dan client_id otomatis. Login gagal membersihkan token lama.
4. Coba Identitas akses, Status sumber data, atau endpoint lain. Management memakai sesi admin; request data memakai sesi, atau api_key jika diisi.
5. Isi UUID target user_id, key_id atau target_client_id sebelum mengubah akses. POST/PATCH/DELETE melakukan perubahan nyata; jalankan satu per satu. Collection tidak mempunyai runner yang otomatis menjalankan mutasi.

File download tidak berisi kredensial aktual. Jangan share/export environment yang sudah berisi password atau token. Gunakan local values; collection tidak mencetak secrets ke console.

Jika request ditolak

401: kredensial salah, expired, dicabut, atau user/client nonaktif. 403: role/scope tidak berhak. 429: tunggu satu menit; login dibatasi5 percobaan per IP per menit. OAuth/callback belum tersedia.

Menu memakai URL sendiri. Perpindahan menu mempertahankan sesi dalam memori. Login akun dipulihkan saat reload/tab baru selama sesi masih berlaku. Cookie HttpOnly hanya untuk pemulihan sesi console; token tidak ditaruh di URL atau browser storage. Akses lewat API key tetap perlu dimasukkan kembali.