Authorization, Signature & Headers

Dalam melakukan komunikasi ke API, dibutuhkan HTTP(s) headers yang dijelaskan pada page ini

Headers

Merupakan daftar header yang digunakan dalam melakukan akses ke Transactional API.

Nama Header	Deskripsi
Client-ID	ID Unik yang diberikan JLC
Request-ID	ID unik transaksi yang di-generate oleh client, untuk keperluan tracking
Request-Timestamp	Waktu request dalam format ISO 8601 (contoh: 2025-08-11T08:45:42Z).
Request-Target	Path endpoint yang dipanggil, termasuk / di awal.
Digest	Base64 dari SHA256 body request
Signature	Signature yang harus digenerate oleh client. lihat Signature
Authorization	Berisi access token, format : Bearer <access_token> Untuk mendapatkan access_token lihat pada Access Token

Access Token

Endpoint ini digunakan untuk mendapatkan Access Token dan Refresh Token yang akan dipakai untuk akses ke Transactional API . Akses ke endpoint ini wajib mengirimkan header Authorization yang sudah dienkripsi (asymmetric encryption) menggunakan public key RSA yang disediakan oleh JLC.

POST /auth/token

Request

Header

Header	Tipe	Required	Deskripsi
Content-Type	String	✅	application/x-www-form-urlencoded
Authorization	String	✅	Nilai adalah hasi dari enkripsi RSA dari string client_id:secret_key menggunakan pubic key yang diberikan oleh JLS
Client-ID	String	✅	ID unik client yang diberikan oleh JLC saat integrasi sistem

Body Request

Field	Tipe	Required	Deskripsi
grant_type	String	✅	Jenis dari grant. Contoh: client_credentials atau refresh_token
refresh_token	String	❌	Hanya dikirim jika grant_type=refresh_token

Contoh Request

Grant Type: client_credential

POST /auth/token HTTP/1.1
Host: {{base_url}}
Content-Type: application/x-www-form-urlencoded
Authorization: ZY1i9zW6pQ9v1l...==
Client-ID: CID-6ba7b8119dad11d1

grant_type=client_credentials

Grant Type: refresh_token

Response

200 - OK

{
  "expires_in": 20,
  "scope": "Read Write",
  "token_type": "Bearer",
  "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6IjEyMDAwOSIsIkNyZWF0ZWRBdCI6IjIwMjEtMTEtMjAgMTI6NTY6NTciLCJleHAiOjE2MzczODc4Mzd9.cUAKlk70Bb6b5kjsuKcWjS9f16bMN4AHYYqWri6BcLE",
  "refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVc2VybmFtZSI6IjEyMDAwOSIsIlRva2VuIjoiMTIwMDA5OGQ5NjllZWY2ZWNhZDNjMjlhM2E2MjkyODBlNjg2Y2YwYzNmNWQ1YTg2YWZmM2NhMTIwMjBjOTIzYWRjNmM5MjIwIiwiZXhwIjoxNjM3MzkxNDE3fQ.E_GSe8rg6FV_NShZ1gFP2T9bH6XktHT7m2sdUhumDEs"
}

401 - Unauthorized

Signature

Setiap request ke Transactional API, wajib menyertakan signature di dalam header Signature. Signature digunakan untuk memastikan integritas dan keamanan request agar tidak dapat dimanipulasi oleh pihak ketiga.

Komponen Signature dari Request Header

Nama Header	Deskripsi
Client-ID	ID Unik yang diberikan JLC
Request-ID	ID unik transaksi yang di-generate oleh client, untuk keperluan tracking
Request-Timestamp	Waktu request dalam format ISO 8601 (contoh: 2025-08-11T08:45:42Z).
Request-Target	Path endpoint yang dipanggil, termasuk / di awal.
Digest	Base64 dari SHA256 body request

Generate Digest

Digest adalah hash dari request body. Untuk generate digest maka perlu menghitung hash SHA256 base64 dari JSON Body

Contoh JSON Body

{"foo":"bar"}

Maka hasil digest :

Digest: eji/gfOD9pQzrW6QDTWz4jhVk/dqe3q11DVbi6Qe4ks=

Generate Signature

Setelah semua komponen telah di set, client dapat membuat signature dengan tahapan :

1. Susun komponen signature menjadi satu komponen dan nilainya per baris dengan menambahkan karakter escape \n. Jangan tambahkan \n di akhir string. Contoh format raw :

Client-Id:CID-6ba7b8119dad11d1\nRequest-Id:683545249613\nRequest-Timestamp:2025-08-11T08:45:42Z\nRequest-Target:/path/to\nDigest:eji/gfOD9pQzrW6QDTWz4jhVk/dqe3q11DVbi6Qe4ks=

1. Hitung HMAC-SHA256 base64 dari semua komponen di atas menggunakan secret key yang diberikan dari JLC

2. Simpan hasil dari generate kedalam header Signature

Signature: i+f38EPA3LiP3xI4ORzoY3J1LKOWTVC0ZzHY7Ez12CA=