Simpan kunci API dengan aman di Rahasia

Saat aplikasi Anda memakai layanan perusahaan lain — prakiraan cuaca, database resep, penyedia pembayaran — layanan itu memberi Anda kunci API: kata sandi rahasia yang panjang yang membuat aplikasi Anda bisa memakai akun Anda. Siapa pun yang memegang kunci itu bisa memakai akun Anda dan membuat tagihan Anda membengkak. Jadi kunci perlu tempat yang aman.

Tempat itu adalah Rahasia. Setiap aplikasi punya Rahasia sendiri, yang disimpan terenkripsi. Kode aplikasi Anda membaca kunci saat membutuhkannya, dan tidak ada seorang pun — baik orang yang memakai aplikasi Anda maupun orang yang Anda ajak berbagi proyek — yang bisa melihatnya.

Bagaimana cara menambahkan rahasia?

1. Buka proyek Anda, lalu klik Backend›Rahasia.

2. Di Nama, ketik nama untuk kunci tersebut, misalnya SPOONACULAR_API_KEY. Gunakan huruf kapital, angka, dan garis bawah; MonstarX mengubah huruf kecil menjadi huruf kapital untuk Anda.

3. Di Nilai, tempel kuncinya. Kunci tampil sebagai titik-titik saat Anda mengetik.

4. Klik Tambahkan.

   

5. Klik Terapkan ke pratinjau, yang muncul di kanan atas setelah Anda menyimpan. Pratinjau dimulai ulang dengan kunci baru sehingga Anda bisa langsung mencobanya.

6. Beri tahu MonstarX di percakapan fitur mana yang harus memakainya: “gunakan SPOONACULAR_API_KEY untuk mencari informasi gizi setiap resep”.

Aplikasi Anda yang sudah diterbitkan mendapatkan rahasia baru dan rahasia yang diubah saat Anda menerbitkan berikutnya. Lihat Terbitkan aplikasi Anda.

Tips

Untuk layanan yang sudah dikenal MonstarX — Stripe, Twilio, Resend, dan lainnya — gunakan Konektor. Anda mendapat formulir dengan kolom yang tepat dan tautan ke tempat kuncinya berada, sementara MonstarX mendapat petunjuk untuk layanan tersebut. Kuncinya tetap tersimpan di Rahasia.

Mengapa saya tidak boleh menempelkan kunci di percakapan?

Percakapan disimpan bersama proyek Anda. Percakapan ditampilkan kepada semua orang yang Anda ajak berbagi proyek, dibaca oleh model AI yang membangun aplikasi Anda, dan disimpan dalam riwayat proyek Anda. Kunci yang ditempel di sana tidak lagi rahasia. Kode yang berisi kunci tertulis di dalamnya sama terbukanya: kunci itu akan masuk ke file proyek Anda, ke hasil ekspor, dan ke GitHub jika Anda menghubungkannya.

Jika Anda tidak sengaja menempelkan kunci di suatu tempat, buat kunci baru di dasbor layanan tersebut, hapus kunci lama di sana, lalu simpan kunci baru di Rahasia.

Bagaimana cara mengubah atau menghapus rahasia?

• Mengubahnya: ketik nama yang sama lagi dengan nilai baru. Tombolnya berubah dari Tambahkan menjadi Perbarui. Klik tombol itu, lalu Terapkan ke pratinjau.
• Menghapusnya: klik tempat sampah di sampingnya, lalu konfirmasi. Bagian aplikasi yang memakainya berhenti berfungsi sampai Anda menambahkannya lagi.

Tidak ada yang bisa membaca nilai yang sudah tersimpan — termasuk Anda. Setiap nilai tampil sebagai titik-titik beserta tanggal nilai itu Ditambahkan. Jika Anda membutuhkan kuncinya, ambil dari layanan yang menerbitkannya.

Nama apa saja yang tidak boleh saya pakai?

Sebagian nama adalah milik MonstarX atau milik sistem tempat aplikasi Anda berjalan, jadi Rahasia menolaknya:

• Nama yang diawali MONSTARX_, BETTER_AUTH_, CLOUDFLARE_, CF_, GCP_, RAILWAY_, NODE_, atau NPM_.
• PATH, HOME, PORT, NODE_ENV, TMPDIR, USER, SHELL, PWD, CI, HOSTNAME, FORCE_COLOR, dan NO_COLOR.
• Nama yang diawali VITE_, karena nama seperti itu akan dimasukkan ke dalam halaman, tempat setiap pengunjung bisa membacanya. (Aplikasi yang diimpor yang sudah memakai nama VITE_ boleh mempertahankannya.)

Nama harus diawali huruf dan panjangnya paling banyak 64 karakter.

Apa itu pengaturan PUBLIC_?

Sebagian nilai memang boleh dilihat, misalnya nama situs atau kunci publik (publishable key) yang menurut layanannya aman dipakai di browser. Beri nama yang diawali PUBLIC_ untuk nilai seperti itu. Nilai tersebut bisa sampai ke halaman, dan MonstarX memperingatkan Anda saat Anda mengetik namanya.

Bahaya

Jangan pernah memberi kunci rahasia nama berawalan PUBLIC_. Siapa pun bisa membacanya dari halaman aplikasi Anda.

Pertanyaan umum

Siapa yang bisa melihat rahasia saya?

Tidak ada yang bisa membaca nilai yang sudah tersimpan, termasuk Anda. Orang yang Anda ajak berbagi proyek sama sekali tidak melihat tab Backend. Hanya kode server aplikasi Anda yang membaca nilainya.

Saya sudah menambahkan kunci, tetapi aplikasi saya masih bilang kuncinya tidak ada.

Klik Terapkan ke pratinjau agar pratinjau dimulai ulang dengan kunci itu. Untuk aplikasi yang aktif, terbitkan lagi. Periksa juga apakah namanya sama persis dengan yang dibaca aplikasi.

Mengapa saya tidak bisa melihat nilai yang sudah saya simpan?

Nilai tidak pernah ditampilkan lagi setelah disimpan, agar tidak bocor dari layar Anda. Untuk mengubahnya, simpan nama yang sama dengan nilai baru.

Bisakah aplikasi saya memakai rahasia di browser?

Tidak. Rahasia hanya dibaca oleh kode server aplikasi Anda, jadi tidak pernah sampai ke browser pengunjung. Nilai yang dibutuhkan oleh halaman itu sendiri, seperti kunci publik, diberi nama berawalan PUBLIC_.

Apa bedanya Rahasia dan Konektor?

Konektor adalah formulir siap pakai untuk layanan terkenal yang menyimpan kuncinya ke Rahasia dengan nama tetap dan mengajari MonstarX cara memakainya. Rahasia untuk semua kebutuhan lainnya.

Terkait

KonektorFormulir siap pakai untuk Stripe, Twilio, Resend, dan lainnya.

Terbitkan aplikasi AndaTerbitkan lagi agar aplikasi yang aktif mendapat rahasia baru.

Ringkasan MonstarX CloudSemua hal lain yang dilakukan backend aplikasi Anda.