API Keys & Public API
Public API memungkinkan sistem Anda sendiri mengirim pesan, membaca kontak, dan menjalankan broadcast lewat program — misalnya dari aplikasi kasir, sistem pemesanan, atau situs Anda.
Membuat API key
- Buka menu API Keys.
- Klik Generate API Key.
- Isi Label yang menjelaskan pemakaiannya, misalnya
Sistem Kasir Toko. - Pilih Permissions seperlunya.
- Simpan.
Kunci ditampilkan satu kali saat dibuat. Salin dan simpan di tempat aman — setelah panel ditutup, Anda hanya bisa melihat Key Preview, bukan kunci penuhnya.
Permissions yang tersedia
| Izin | Kemampuan |
|---|---|
| 📨 messages:send | Kirim Pesan |
| 📖 messages:read | Baca Pesan |
| 👤 contacts:read | Baca Kontak |
| ✏️ contacts:write | Tulis Kontak |
| 📥 contacts:import | Import Kontak |
| 📄 templates:read | Baca Template |
| 📱 numbers:read | Baca Nomor WABA |
| 📢 broadcast:send | Kirim Broadcast |
| 🔗 webhooks:manage | Kelola Webhook |
Berikan izin seminimal mungkin. Sistem yang hanya perlu mengirim notifikasi pesanan cukup diberi messages:send. Kunci dengan izin penuh yang bocor jauh lebih berbahaya.
Simulator API
Wavio menyediakan Simulasi Public API untuk mencoba permintaan tanpa menulis kode:
- Pilih API Key yang ingin diuji.
- Pilih Endpoint yang ingin dipanggil.
- Sesuaikan JSON Payload.
- Jalankan dan lihat hasilnya.
Simulator menampilkan URL Request lengkap, sehingga Anda bisa menyalinnya sebagai contoh saat menulis kode.
Gunakan simulator sebelum menulis integrasi — ini menghemat banyak waktu menebak format payload.
Memantau pemakaian
Kolom Terakhir Digunakan menunjukkan kapan kunci terakhir dipakai. Kunci yang tidak pernah dipakai berbulan-bulan sebaiknya dicabut.
Mencabut kunci
Klik revoke lalu konfirmasi pada Revoke API key ini? Aksi tidak bisa dibatalkan.
Cabut segera bila:
- Kunci pernah terkirim lewat chat atau email
- Kunci ada di kode yang pernah masuk repositori publik
- Karyawan yang memegangnya sudah tidak bekerja dengan Anda
- Anda melihat pemakaian yang tidak Anda kenali
Praktik keamanan
Simpan sebagai environment variable, jangan tulis langsung di dalam kode.
Jangan pakai di sisi browser. Kunci yang dipakai di JavaScript halaman web bisa dibaca siapa saja yang membuka halaman itu.
Buat kunci terpisah per sistem. Bila satu bocor, Anda bisa mencabutnya tanpa mengganggu sistem lain.
Ganti secara berkala untuk sistem yang kritis.
Batasan yang tetap berlaku
API tidak membebaskan Anda dari aturan Meta:
- Pesan di luar jendela 24 jam tetap wajib memakai template yang disetujui
- Batas pengiriman nomor tetap berlaku
- Kualitas nomor tetap dipengaruhi reaksi penerima
Mengirim lewat API tidak membuat pesan lebih aman dari laporan spam.
Dokumentasi endpoint
Rincian setiap endpoint, format permintaan, dan contoh responsnya tersedia di bagian dokumentasi API. Menu Panduan di dashboard juga memuat tab Dokumentasi API yang bisa dibuka langsung tanpa meninggalkan aplikasi.