Autentikasi API

​

Konfigurasi umum

• Base URL: https://app.indolat.com/api/v1
• Autentikasi: Authorization: Bearer <API_KEY>
• Format request/response: application/json
• Rate limit default: 120 request per menit per projek; nilai aktif tersedia pada GET /me
• Pagination default: 25 data per halaman, maksimal 100
• Maksimal operasi batch: 500 peserta per request

Authorization: Bearer <API_KEY>
Accept: application/json

Content-Type: application/json

​

Format response

{
  "success": true,
  "message": null,
  "data": {}
}

{
  "success": false,
  "message": "Data yang dikirim tidak valid.",
  "errors": {
    "email": ["Format alamat email tidak valid."]
  }
}

​

Validasi API Key

curl -X GET "https://app.indolat.com/api/v1/me" \
  -H "Authorization: Bearer <API_KEY>" \
  -H "Accept: application/json"

{
  "success": true,
  "message": null,
  "data": {
    "client": {
      "id": 3,
      "name": "SMA Nusantara",
      "code": "smanusantara",
      "app_url": "https://smanusantara.cbt.example.com"
    },
    "addons": {
      "api_integration": true,
      "registration_page": true,
      "exam_certificate": false,
      "custom_domain": false
    },
    "exam_credits": { "professional": 250, "free": 25 },
    "limits": {
      "rate_limit_per_minute": 120,
      "max_batch_rows": 500,
      "max_page_size": 100
    }
  }
}

​

Catatan keamanan

• Simpan API Key hanya di server, jangan di frontend atau aplikasi mobile.
• Gunakan whitelist IP pada Pengaturan Aplikasi → Integrasi API bila memungkinkan.
• Daftarkan hanya domain milik Anda pada Domain Redirect Setelah Ujian. Hanya return_url dengan domain terdaftar dan https:// yang diterima pada link akses ujian.
• Buat ulang API Key (Buat Ulang API Key) segera jika key diduga bocor; key lama langsung tidak berlaku.
• Link akses ujian berfungsi sebagai login peserta dan hanya dapat dipakai satu kali. Buat link saat peserta akan masuk, langsung redirect peserta, dan gunakan masa berlaku sesingkat mungkin.
• Gunakan HTTPS untuk endpoint webhook dan verifikasi signature dari raw request body sebelum memproses payload.