# Kunci API: izin, saluran, IP, masa berlaku, dan mengganti kunci.

Setiap permintaan API v2 membawa satu Kunci API di header `Authorization: Bearer`. Klik Flow hanya menyimpan sidik kuncinya, jadi kunci yang hilang tidak bisa ditampilkan lagi: ganti kuncinya.

Sumber: https://klikflow.id/docs/api/autentikasi

## Kunci live dan kunci tes

- `kf_live_…`: mengirim sungguhan dan memakai kuota pesan paket. Butuh paket dengan fitur API.
- `kf_test_…`: hanya mengirim ke nomor uji, dengan batas sendiri (60 permintaan per menit, 100 pesan per hari). Bisa dibuat di semua paket. Lihat panduan Mode tes.
- Header `Klikflow-Mode` di setiap jawaban berisi `live` atau `test`, jadi sistem Anda bisa memastikan kunci yang terpasang.

## Izin kunci

Pilih izin seperlunya saat membuat kunci. Setiap izin juga harus dimiliki role pembuat kunci saat permintaan masuk: bila role-nya diubah, kunci ikut menyempit. Izin yang dibutuhkan tertulis di halaman referensi setiap endpoint.

- `business:read`: bisnis dan saluran.
- `contacts:read`, `contacts:write`: kontak dan field kustom.
- `conversations:read`: percakapan dan isi pesan, sebatas cakupan chat pembuat kunci.
- `messages:send`: kirim pesan dan balas percakapan. `messages:new`: memulai chat WhatsApp (scan QR) ke nomor baru.
- `templates:read`, `templates:write`: template WhatsApp Official.
- `webhooks:manage`: webhook ke sistem Anda, hanya untuk kunci live.

## Saluran dan IP

Kunci bisa dibatasi ke nomor WhatsApp tertentu; tanpa batasan, kunci memakai semua nomor yang boleh dipakai pembuatnya. Isi juga IP server yang boleh memakai kunci: alamat IPv4/IPv6 atau rentang IPv4 seperti `198.51.100.0/24`. Permintaan dari IP lain ditolak `ip_not_allowed`.

## Masa berlaku

Pilih sampai dicabut, 30 hari, 90 hari, atau 1 tahun. Kunci yang habis masa berlakunya ditolak `key_expired`; tanggalnya tampil di daftar kunci.

## Mengganti kunci

Tekan Ganti di kunci itu. Kunci baru dibuat dengan izin, saluran, IP, dan masa berlaku yang sama, sementara kunci lama tetap berlaku selama masa tenggang yang Anda pilih (langsung berhenti, 24 jam, 3 hari, atau 7 hari). Pasang kunci baru di server Anda dalam masa itu. Cabut menghentikan kunci saat itu juga, termasuk masa tenggangnya.

## Menyimpan kunci

Simpan kunci di variabel lingkungan atau penyimpanan rahasia server. Jangan menaruhnya di aplikasi HP, kode halaman web, atau repositori. Panggil API dari server Anda; API tidak menerima panggilan langsung dari browser.