Autentikasi & kunci
Setiap permintaan API publik dan MCP diautentikasi dengan token akses pribadi. Token dibuat, diberi cakupan, dan dicabut dari /account/api-keys.
Mengirim token
Gunakan header HTTP standar Authorization:
Authorization: Bearer ant_live_aB3xQ9k…Klien yang tidak bisa mengatur Authorization (beberapa gateway MCP, seperti Smithery, mencadangkannya) bisa mengirim token apa adanya di X-API-Key: ant_live_… sebagai gantinya. Jika keduanya ada, Authorization yang dipakai.
Token adalah string acak yang tidak bermakna — jangan pernah menyisipkannya di URL atau query string. Anthra hanya mencatat 12 karakter pertama dari token apa pun (awalan yang terlihat di dasbor).
Format token
Token selalu diawali dengan ant_live_. Token berisi ~50 karakter entropi base64 yang aman untuk URL dan hanya ditampilkan kepada Anda saat dibuat. Anthra menyimpan hash sha256-nya; jika token hilang, Anda harus membuat yang baru.
Cakupan
Pilih kumpulan cakupan paling sempit yang cukup untuk pekerjaannya. Kunci bocor dengan books:read, misalnya, tidak bisa menjalankan pembuatan atau menerbitkan apa pun.
| Cakupan | Akses yang diberikan |
|---|---|
books:read | Menampilkan, membaca, dan mengekspor buku serta bab Anda. |
books:write | Membuat, memperbarui, menghapus, dan menyusun kerangka buku serta bab. |
generation:run | Menjalankan alur pembuatan AI — kerangka, menulis, menulis ulang, menarasikan. Memakai token dan kredit ElevenLabs. |
publish:write | Menerbitkan atau membatalkan terbitan buku dan mengubah visibilitas bagi pembaca. |
account:read | Membaca profil akun dan pemakaian token. |
analytics:read | Membaca analitik pembaca per bab untuk buku terbitan Anda. |
Masa berlaku & pencabutan
Kunci bisa dibuat dengan masa berlaku opsional (1–3650 hari). Cabut kunci kapan saja dari /account/api-keys; permintaan berikutnya dengan kunci itu mengembalikan 401 invalid_token dalam hitungan detik.
Cadangan sesi cookie
Jika permintaan ke /api/v1/* datang tanpa bearer token tetapi membawa cookie sesi Auth.js yang terautentikasi, Anthra memperlakukan pemanggil sebagai pengguna yang sedang masuk dengan semua cakupan. Ini memungkinkan UI studio memakai API publik selama pengembangan lokal tanpa membuat token; integrasi produksi harus selalu memakai Bearer token agar cakupan berlaku.
Menyimpan token dengan aman
- Gunakan variabel lingkungan (
ANTHRA_TOKEN), pengelola rahasia, atau.env.localuntuk pengembangan lokal — jangan pernah meng-commit token. - Ganti token secara berkala dan cabut yang tidak dipakai.
- Buat satu token per integrasi (agar mencabut satu tidak mematikan yang lain).