Pada 2026-11-10 pukul 00:22 (UTC+8), APIYI merilis pemberitahuan pemulihan: masa kelonggaran tetap berlaku hingga 2027-12-31 pukul 23:59 (UTC+8). Sekarang, setelah masuk ke konsol, Anda bisa langsung menautkan Passkey dan 2FA tanpa harus menunggu 72 jam. Token sistem lama direncanakan dinonaktifkan pada 2026-11-11 (UTC+8). Platform menyatakan bahwa perpanjangan akan diputuskan berdasarkan penggunaan. Hingga 2026-11-10, belum ada pemberitahuan baru yang menyatakan bahwa token sudah dinonaktifkan atau masa kelonggaran telah diperpanjang.
Sebelum mulai, kenali dulu tiga jenis kredensial agar langkah-langkah berikutnya tidak keliru. Untuk masuk ke situs, gunakan kata sandi, Passkey, dan 2FA; untuk pemanggilan model, gunakan kunci model yang diawali sk-; untuk memeriksa saldo dan log serta mengelola kunci lewat skrip, gunakan token akses pribadi yang diawali nap_. Ketiganya tidak bisa saling menggantikan. Artikel ini akan memandu Anda mengaturnya satu per satu, mengikuti urutan halaman pusat akun.
Poin Utama Passkey, 2FA, dan Token APIYI
Tabel berikut menjadi dasar untuk memahami seluruh artikel. Jika nanti menemui masalah, kembali ke sini untuk memastikan kredensial mana yang sedang Anda gunakan.
| Kredensial | Bentuknya | Bisa digunakan untuk | Tidak bisa digunakan untuk | Dikelola di |
|---|---|---|---|---|
| Verifikasi login (kata sandi, Passkey, 2FA, GitHub) | Sidik jari, pengenalan wajah, kata sandi layar kunci, atau kode dinamis 6 digit | Melindungi login ke konsol dan memverifikasi ulang identitas untuk tindakan sensitif, seperti ekspor | Memanggil model dan menggunakan API manajemen | Pusat akun |
| Kunci model (API Key) | Diawali dengan sk- |
Memanggil model seperti OpenAI, Claude, dan Gemini | Melindungi login; jika bocor, 2FA pun tidak dapat mencegah penyalahgunaan | Halaman token |
| Token akses pribadi | Diawali dengan nap_ |
Memungkinkan skrip memeriksa saldo dan log, serta mengelola kunci model | Memanggil model, mengubah kata sandi, atau mengubah verifikasi dua langkah | Pusat akun → Opsi akun |
Alamat pusat akun adalah https://api.apiyi.com/account/profile. Anda juga bisa membukanya dengan mengeklik “Pusat akun” di kanan atas situs atau di navigasi sebelah kiri. Semua proses penautan dan pembuatan kredensial selanjutnya dimulai dari halaman ini.
Masih diminta menunggu 72 jam? Memahami Passkey dan 2FA APIYI saat ini
Aturan 72 jam belum dihapus, tetapi penerapannya ditangguhkan selama masa pelonggaran. Berikut rangkuman dokumen resmi, pemberitahuan platform, urutan tindakan yang disimpulkan, dan hal-hal yang tidak dijelaskan dalam dokumen. Pembagian ini membantu agar dugaan tidak dianggap sebagai kesimpulan.
| Jenis informasi | Isi |
|---|---|
| Aturan resmi sebelumnya | Akun yang masuk hanya dengan kata sandi harus berada dalam sesi dan lingkungan login yang sama selama 72 jam tanpa gangguan sebelum dapat menambahkan metode verifikasi untuk pertama kalinya. Berganti jaringan akan mengulang masa tunggu. |
| Pemberitahuan platform (10-04) | Mulai sekarang hingga 2027-12-31 23:59 (UTC+8), masa pelonggaran penambahan metode verifikasi berlaku. Setelah login, Anda bisa langsung menambahkannya. Login berisiko tinggi tetap diblokir sesuai aturan sebelumnya. |
| Pemberitahuan platform (11-10) | Setelah pergantian server pada 6 November, kebijakan pelonggaran sempat tidak berlaku di lingkungan baru. Kini kebijakan tersebut sudah dipulihkan. |
| Setelah masa pelonggaran berakhir | Aturan sebelumnya akan kembali berlaku. Di lingkungan baru, akun yang login hanya dengan kata sandi tetap harus stabil selama 72 jam sebelum dapat menambahkan metode verifikasi. Metode yang sudah ditambahkan tidak terpengaruh. |
| Hal yang tidak dijelaskan dalam dokumen | Dokumen tidak menjelaskan secara rinci bagaimana login berisiko tinggi akan diblokir setelah masa pelonggaran berakhir. Belum ada pemberitahuan lanjutan. |
Jika Anda melihat pesan “perlu menunggu” setelah 6 November, penyebabnya adalah pergantian server, bukan masalah pada akun Anda. Sekarang, coba muat ulang halaman untuk mencoba lagi. Masa pelonggaran masih berlaku lebih dari setahun, tetapi sebaiknya tambahkan metode verifikasi hari ini. Dengan begitu, setelah akhir 2027, Anda tidak akan tertahan aturan 72 jam saat login dari lingkungan baru.
🎯 Saran tindakan: Penambahan metode verifikasi dilakukan saat Anda sudah login. Proses ini hanya menambahkan satu metode verifikasi dan tidak memengaruhi saldo, kunci API model, maupun riwayat pemanggilan. Pemanggilan API APIYI tidak akan terputus selama proses penambahan metode verifikasi.
Urutan Mengaktifkan Passkey dan 2FA di APIYI
Urutan yang direkomendasikan adalah aktifkan Passkey terlebih dahulu, lalu aktifkan 2FA sebagai cadangan. Jika urutannya dibalik, Anda bisa menemui kendala yang akan dibahas di bagian berikutnya.
Langkah pertama: Aktifkan Passkey APIYI
Buka pusat akun, gulir ke bagian paling bawah hingga menemukan “Opsi akun”, lalu klik Aktifkan Passkey. Browser akan menampilkan jendela sistem yang menanyakan “Pilih tempat untuk menyimpan kunci sandi apiyi.com”. Pastikan domain yang tercantum di jendela tersebut benar. Jika domainnya tidak cocok, jangan lanjutkan.
Setelah memilih tempat penyimpanan, konfirmasikan dengan sidik jari, pengenalan wajah, atau kata sandi layar kunci. Setelah berhasil, tombol akan berubah menjadi Lepas Passkey, dan waktu terakhir digunakan akan ditampilkan di sebelahnya. Saat membuka halaman login berikutnya, Anda bisa memilih login dengan Passkey.
Tempat penyimpanan menentukan apakah kunci ini bisa digunakan saat Anda berganti perangkat. Gunakan tabel berikut sebagai panduan:
| Tempat penyimpanan | Cocok untuk | Apakah disinkronkan? |
|---|---|---|
| Rantai Kunci iCloud | Mac, iPhone, iPad | Disinkronkan di antara perangkat Apple milik Anda |
| Pengelola Sandi Google | Chrome dan Android | Disinkronkan lintas perangkat |
| Ponsel, tablet, atau kunci keamanan | Login sementara di komputer orang lain: pindai kode QR di komputer, lalu verifikasi dengan ponsel sendiri | Kunci tersimpan di ponsel atau kunci keamanan |
| Profil browser di perangkat ini | Hanya digunakan di perangkat ini | Tidak disinkronkan; akan hilang jika Anda berganti komputer atau menginstal ulang sistem |
Ada beberapa hal yang perlu diketahui tentang Passkey. Teknologi ini menggunakan WebAuthn / FIDO2. Kunci privat hanya disimpan di perangkat atau pengelola sandi, sedangkan server hanya menyimpan kunci publik yang tidak bisa digunakan untuk mendapatkan kembali kunci privat. Sidik jari dan pengenalan wajah hanya diverifikasi secara lokal dan tidak diunggah. Passkey tidak bisa digunakan untuk mendaftarkan akun baru dan tidak menggantikan kata sandi. Setelah Passkey diaktifkan, login dengan kata sandi dan GitHub tetap bisa digunakan seperti biasa. Selain itu, jangan aktifkan Passkey di komputer umum.
Langkah kedua: Aktifkan 2FA dan simpan kode cadangan
Masih di pusat akun, cari bagian 2FA di bagian bawah halaman. Pindai kode QR menggunakan Google Authenticator, Microsoft Authenticator, atau aplikasi autentikator lain yang kompatibel dengan TOTP. Setelah itu, masukkan kode dinamis 6 digit dari aplikasi yang diperbarui setiap 30 detik.
Setelah berhasil diaktifkan, halaman akan menampilkan kode cadangan. Pastikan Anda menyimpannya. Kode ini diperlukan untuk login kembali jika Anda berganti ponsel, kehilangan perangkat, atau tidak sengaja menghapus aplikasi autentikator. Jangan hanya menyimpan tangkapan layar di ponsel yang digunakan untuk aplikasi autentikator. Simpan kode di pengelola sandi pada perangkat lain atau tulis di kertas dan simpan dengan aman.
Setelah semuanya aktif, login ke situs serta tindakan sensitif seperti membuat API KEY dan mengekspor data mungkin akan meminta kode dinamis 2FA atau verifikasi Passkey. Ini adalah pemeriksaan keamanan yang normal, bukan tanda adanya kesalahan.
Passkey atau 2FA APIYI tidak bisa ditautkan dan muncul pesan “Gagal menyimpan status verifikasi”
Kendala 1: Halaman masih meminta Anda menunggu
Masa tenggang berlaku berdasarkan sesi login. Beberapa sesi yang dibuat lebih awal pernah diminta untuk melakukan verifikasi ulang, sehingga tidak otomatis mendapat akses. Mencoba berulang kali dalam sesi yang sama hanya akan membuat Anda terus diminta menunggu. Ikuti langkah berikut:
- Muat ulang halaman, lalu coba lagi.
- Jika Anda masih diminta menunggu, keluar dari akun lalu login kembali untuk membuat sesi baru.
- Tunggu sekitar satu menit hingga sistem memberikan akses, lalu muat ulang halaman pengaturan akun dan coba tautkan lagi.
- Jika masih gagal, gunakan Chrome, Edge, atau Safari versi terbaru. Pastikan perangkat sudah dilengkapi kata sandi layar kunci atau autentikasi biometrik.
Selain itu, beberapa browser bawaan aplikasi tidak mendukung WebAuthn. Saat Anda mengetuk “Tautkan Passkey”, mungkin tidak ada jendela yang muncul. Jika ini terjadi, lanjutkan melalui browser bawaan perangkat.
Kendala 2: Setelah menautkan 2FA, muncul pesan “Gagal menyimpan status verifikasi” saat menautkan Passkey
Setelah 2FA ditautkan, sistem akan meminta Anda memverifikasi ulang status login saat ini. Jika Anda langsung melanjutkan dengan menautkan Passkey, pesan “Gagal menyimpan status verifikasi” akan muncul. Untuk mengatasinya, keluar dari akun, lalu login kembali menggunakan kata sandi + kode dinamis 2FA. Setelah itu, buka kembali bagian bawah pusat akun dan ketuk “Tautkan Passkey”.
Akun yang didaftarkan sekali klik melalui GitHub perlu login menggunakan GitHub dan tidak perlu membuat kata sandi terpisah. Apa pun jenis akun Anda, sebaiknya siapkan metode login cadangan, seperti kata sandi, email pendaftaran, atau GitHub. Jangan hanya mengandalkan Passkey di satu perangkat.
💡 Tips: Penautan termasuk perubahan metode verifikasi. Dokumentasi resmi menyebutkan: “Perubahan kata sandi, verifikasi dua langkah, atau kunci sandi—perubahan apa pun pada salah satunya akan mencabut semua token akses pribadi.” Jika skrip pengelolaan Anda mulai mengembalikan 401 setelah penautan, buat ulang token akses pribadi di pusat akun, lalu ganti token yang lama. Pemanggilan model tidak akan terpengaruh.
Perbedaan kunci model, token akses pribadi, dan token sistem lama APIYI
Kunci model (sk-) dikelola di halaman token https://api.apiyi.com/token dan digunakan untuk memanggil model. Jumlahnya tidak terbatas. Token akses pribadi (nap_) dikelola melalui opsi akun di pusat pengguna dan digunakan untuk memanggil endpoint pengelolaan. Setiap akun dapat memiliki maksimal 20 token. Token sistem lama adalah kredensial lama untuk endpoint pengelolaan dan akan digantikan oleh token akses pribadi.
| Aspek | Token sistem lama | Token akses pribadi |
|---|---|---|
| Izin | Memiliki semua izin akun | Bisa dipilih sesuai kebutuhan; izin membaca, menulis, dan melihat kunci dipisahkan |
| Jumlah | 1 per akun | Maksimal 20 |
| Masa berlaku | Tidak kedaluwarsa | 30 hari secara default; bisa memilih 90, 180, atau 365 hari, menetapkan sendiri, atau tidak pernah kedaluwarsa |
| Daftar izin IP | Tidak didukung | Mendukung IPv4, IPv6, dan CIDR; tidak bisa diubah setelah dibuat |
| Awalan | Tidak ada awalan tetap | nap_ |
| Status | Direncanakan dinonaktifkan mulai 2026-11-11 (UTC+8) | Direkomendasikan saat ini |
Ganti token APIYI akses pribadi untuk skrip pengelolaan
- Buka pusat pengguna, pilih Token akses pribadi di opsi akun, lalu klik Buat token di kanan atas.
- Isi nama sesuai kegunaannya, misalnya “Skrip rekonsiliasi” atau “Pemantau saldo”. Sebaiknya pilih masa berlaku yang cukup panjang, misalnya 365 hari.
- Biarkan daftar izin IP kosong terlebih dahulu (kosong berarti tidak ada batasan), lalu centang hanya izin yang diperlukan skrip.
- Setelah mengeklik Buat token, segera salin dan simpan token tersebut. Lalu, ganti nilai lama di variabel lingkungan atau konfigurasi skrip dengan token baru.
Alamat endpoint dan kode tidak perlu diubah. Alamat dasar tetap https://api.apiyi.com. Isi header Authorization dengan token itu sendiri; penggunaan awalan Bearer bersifat opsional.
Pilih izin sesuai endpoint. Terlalu banyak izin justru meningkatkan risiko:
- Untuk melihat saldo
GET /api/user/self: centang “Profil pribadi · Baca”. - Untuk melihat log
GET /api/log/self: centang “Penggunaan dan catatan pribadi · Baca”. - Untuk mencantumkan atau melihat kunci model: centang “Kunci model · Baca”; untuk membuat, mengubah, atau menghapus kunci, centang “Kunci model · Tulis”; untuk melihat teks lengkap kunci, centang “Kunci model · Lihat kunci”.
Perlu diketahui, izin menulis tidak otomatis memberikan izin membaca. Izin membaca juga tidak memungkinkan Anda melihat teks lengkap kunci. Operasi seperti mengubah kata sandi dan verifikasi dua langkah tetap harus dilakukan setelah masuk ke situs, meskipun token memiliki izin menulis.
Setelah skrip berhasil diuji, buat token resmi baru dengan daftar izin IP. Masukkan IP publik server produksi, server cadangan, dan lainnya; pisahkan beberapa alamat dengan koma bahasa Inggris. Setelah mengganti token dengan token resmi, hapus token uji yang tidak memiliki daftar izin IP. Gunakan satu token untuk setiap skrip. Jika token bocor, Anda hanya perlu menghapus token tersebut.
🚀 Saran migrasi: Sebaiknya lakukan penggantian di APIYI sebelum tanggal rencana penonaktifan 2026-11-11. Dokumentasi belum memuat pemberitahuan lanjutan tentang apakah penonaktifan benar-benar akan dilakukan pada hari itu atau mungkin ditunda sementara. Jangan mengandalkan penundaan mendadak.
Apa yang harus dilakukan terlebih dahulu saat kunci APIYI bocor atau skrip mengalami 401
Kunci API model bocor: nonaktifkan dulu, baru periksa
Batas maksimum penggunaan sebuah kunci API model adalah saldo akun. Jika kunci bocor, langkah pertama adalah membuka https://api.apiyi.com/token lalu menghapus atau menonaktifkan token tersebut. Ini satu-satunya tindakan yang bisa segera membatasi kerugian, jadi lakukan sebelum mulai menyelidiki. Setelah itu, buat token baru: matikan opsi tanpa batas, isi batas penggunaan yang diizinkan, lalu jika perlu, centang “启用高级选项” untuk mengatur daftar IP yang diizinkan dan model yang dapat digunakan. Terakhir, perbarui konfigurasi aplikasi. Periksa juga log pemanggilan untuk mencari model yang tidak dikenal, volume pemanggilan yang tidak wajar, atau waktu pemanggilan yang mencurigakan. Hapus sumber kebocoran dari kode, dokumentasi, tangkapan layar, dan riwayat percakapan.
Jika Anda pernah menyimpan kunci di Railway dan belum menggantinya, nonaktifkan kunci lama terlebih dahulu, lalu buat kunci pengganti. Perbarui variabel lingkungan dan lakukan deployment ulang. Jika belum pernah menggunakan Railway, Anda tidak perlu mengganti kunci hanya karena pemberitahuan ini.
Skrip menampilkan 401 atau 403: tangani berdasarkan pesan respons
| Kode status | Pesan respons | Penyebab | Penanganan |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
Masih menggunakan token sistem lama yang sudah melewati tanggal penonaktifan | Buat token akses pribadi sebagai pengganti |
| 401 | This access token may not be used from the current IP address. |
IP sumber tidak ada dalam daftar yang diizinkan | Daftar IP yang diizinkan tidak dapat diubah; buat token baru |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
Izin yang sesuai belum dicentang | Buat token baru dan centang izin yang diperlukan |
| 401 | Hanya muncul pesan bahwa token tidak valid | Token kedaluwarsa atau dihapus, atau kata sandi, verifikasi dua langkah, maupun kunci sandi telah diubah | Buat token baru dari pusat akun |
Mencegah masalah sehari-hari jauh lebih mudah daripada mengatasinya setelah terjadi. Matikan opsi tanpa batas untuk kunci API model yang digunakan untuk pengujian. Sebaiknya tetapkan batas sebesar 5 hingga 50 dolar dan atur tanggal kedaluwarsa. Gunakan kunci terpisah untuk produksi dan pengujian. Jangan menulis kunci asli di dalam kode atau Git, dan gunakan placeholder seperti sk-your-api-key pada tangkapan layar yang dibagikan kepada orang lain.
FAQ
Q1: Kalau sudah mengaktifkan Passkey atau 2FA APIYI, apakah masih bisa masuk dengan kata sandi?
Bisa. Verifikasi kedua adalah lapisan keamanan tambahan, bukan pengganti kata sandi. Login dengan GitHub juga tetap bisa digunakan. Beberapa tindakan mungkin memerlukan kode dinamis atau verifikasi Passkey tambahan.
Q2: Bagaimana kalau kode cadangan 2FA hilang?
Jika masih bisa login, buka pusat akun untuk menautkan ulang 2FA, lalu simpan kode cadangan yang baru. Jika kode cadangan hilang dan Anda tidak bisa login, hubungi [email protected]. Kami akan membantu melepaskan 2FA setelah memverifikasi identitas Anda.
Q3: Apakah jaringan rumah perlu menggunakan daftar izin IP untuk token akses pribadi?
Tidak disarankan. IP keluar dari koneksi internet rumah atau jaringan kantor bisa berubah. Jika daftar izin diaktifkan, Anda bisa tiba-tiba menerima error 401. Sebagai gantinya, gunakan izin hanya-baca dan tetapkan masa berlaku yang lebih singkat.
Q4: Apakah token akses pribadi bisa digunakan untuk memanggil model?
Tidak. Untuk memanggil model, tetap gunakan kunci model yang diawali `sk-`, dan isi base_url dengan `https://api.apiyi.com/v1`. Token `nap_` hanya digunakan untuk antarmuka saldo, log, dan pengelolaan token.
Q5: Bisakah daftar izin token akses pribadi diubah jika salah diisi?
Tidak bisa. Daftar izin token akses pribadi tidak dapat diubah setelah dibuat. Anda perlu membuat token baru, lalu menghapus token lama. Daftar izin kunci model diatur secara terpisah. Anda bisa mengosongkannya sementara, lalu mengisinya kembali. Jangan sampai tertukar.
Q6: Apakah Passkey tetap tersedia setelah ganti ponsel?
Tergantung lokasi penyimpanannya. Passkey yang tersimpan di Rantai Kunci iCloud atau Pengelola Sandi Google akan disinkronkan. Passkey yang hanya tersimpan di profil browser pada perangkat tidak akan disinkronkan. Jika perangkat hilang, login dengan kata sandi atau GitHub, lepaskan Passkey lama, lalu tautkan Passkey baru di perangkat baru.
Ringkasan: Selesaikan Empat Hal Ini Hari Ini
- Tambahkan Passkey: Buka opsi akun di bagian bawah halaman profil → Tambahkan Passkey. Sebaiknya pilih tempat penyimpanan yang bisa disinkronkan.
- Aktifkan 2FA dan simpan kode cadangan di tempat lain: Jangan hanya menyimpan kode cadangan di ponsel yang digunakan untuk aplikasi autentikator.
- Matikan kuota tak terbatas untuk token: Di halaman token, tetapkan batas kecil untuk kunci model yang digunakan untuk pengujian.
- Ganti token sistem lama di skrip pengelolaan dengan token akses pribadi: Ganti token sistem lama dengan token
nap_sebelum tanggal penghentian yang direncanakan, 2026-11-11.
Keempat hal ini bisa dimulai dari https://api.apiyi.com/account/profile dan selesai dalam belasan menit. Setelah itu, kredensial untuk login, pemanggilan model, dan skrip pengelolaan akan terpisah. Jika salah satunya bermasalah, Anda hanya perlu menangani kredensial tersebut.
Penulis: Tim teknis APIYI
Diskusi teknis: Untuk informasi lebih lanjut tentang akun dan token, lihat FAQ keamanan akun dan token akses pribadi di pusat dokumentasi docs.apiyi.com.
