Cara Membuat API Key Generator di PHP

[Klien Minta Key] → [PHP Generate 32 bytes acak] → [Hash SHA-256]
                                 ↓                         ↓
                 [Tampilkan Kunci Asli ke User]    [Simpan Hash ke DB]

// ❌ SANGAT BERBAHAYA: mudah ditebak dan diprediksi
$keyBuruk1 = md5(time());
$keyBuruk2 = substr(str_shuffle("0123456789abcdef"), 0, 32);
$keyBuruk3 = uniqid("key_", true);

// ✅ STANDAR KRIPTOGRAFI TINGGI: CSPRNG aman
$bytesAman = random_bytes(32); // menghasilkan 32 byte entropi biner
$keyAman   = bin2hex($bytesAman); // diubah menjadi 64 karakter heksadesimal

CREATE TABLE `api_keys` (
  `id` INT AUTO_INCREMENT PRIMARY KEY,
  `user_id` INT NOT NULL,
  `name` VARCHAR(100) NOT NULL COMMENT 'Label nama aplikasi klien',
  `api_key_hash` VARCHAR(64) NOT NULL UNIQUE COMMENT 'Hash SHA-256 dari key asli',
  `key_prefix` VARCHAR(16) NOT NULL COMMENT 'Contoh: pk_live_abcd untuk display',
  `status` ENUM('active', 'revoked') DEFAULT 'active',
  `last_used_at` DATETIME NULL,
  `created_at` DATETIME DEFAULT CURRENT_TIMESTAMP,
  INDEX `idx_hash` (`api_key_hash`),
  INDEX `idx_user` (`user_id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

<?php
// koneksi.php
$db = new mysqli("localhost", "root", "", "db_api");
if ($db->connect_error) {
    die("Koneksi gagal: " . $db->connect_error);
}

function generateApiKey(int $userId, string $namaAplikasi, mysqli $conn): array
{
    // 1. Buat token acak 32 bytes (64 karakter hex)
    $tokenAcak = bin2hex(random_bytes(32));

    // 2. Beri prefix standar industri agar mudah dikenali
    $plainApiKey = "pk_live_" . $tokenAcak;

    // 3. Hash kunci asli menggunakan algoritma SHA-256
    $hashKey = hash('sha256', $plainApiKey);

    // 4. Ambil prefix untuk tanda pengenal di dashboard
    $prefixDisplay = substr($plainApiKey, 0, 16);

    // 5. Simpan hash ke database menggunakan Prepared Statement
    $stmt = $conn->prepare(
        "INSERT INTO api_keys (user_id, name, api_key_hash, key_prefix) VALUES (?, ?, ?, ?)"
    );
    $stmt->bind_param("isss", $userId, $namaAplikasi, $hashKey, $prefixDisplay);
    $stmt->execute();
    $stmt->close();

    // 6. Kembalikan kunci mentah ke pengguna (HANYA SEKALI INI!)
    return [
        'nama'      => $namaAplikasi,
        'api_key'   => $plainApiKey,
        'perhatian' => 'Salin kunci ini sekarang. Kunci tidak akan pernah ditampilkan lagi demi alasan keamanan.'
    ];
}

// Contoh pemakaian saat user klik tombol "Buat API Key" di dashboard
$hasil = generateApiKey(1, "Aplikasi Mobile Android", $db);
header('Content-Type: application/json');
echo json_encode($hasil, JSON_PRETTY_PRINT);
?>

<?php
// middleware_api.php

function validasiAksesApi(mysqli $conn): array
{
    // 1. Ambil header Authorization dari request HTTP
    $authHeader = $_SERVER['HTTP_AUTHORIZATION'] 
        ?? $_SERVER['REDIRECT_HTTP_AUTHORIZATION'] 
        ?? '';

    // Jika di lingkungan Apache lokal kadang tersimpan di getallheaders()
    if (empty($authHeader) && function_exists('getallheaders')) {
        $headers = getallheaders();
        $authHeader = $headers['Authorization'] ?? $headers['authorization'] ?? '';
    }

    // 2. Pastikan formatnya sesuai standar: Bearer <token>
    if (!preg_match('/^Bearer\s+(\S+)$/i', $authHeader, $matches)) {
        http_response_code(401);
        echo json_encode([
            'status'  => false,
            'message' => 'Format otentikasi salah. Gunakan header Authorization: Bearer <API_KEY>'
        ]);
        exit;
    }

    $rawApiKey = $matches[1];

    // 3. Hash API key yang dikirim oleh klien
    $incomingHash = hash('sha256', $rawApiKey);

    // 4. Cari hash di database dengan status aktif
    $stmt = $conn->prepare(
        "SELECT id, user_id, name, status FROM api_keys WHERE api_key_hash = ? AND status = 'active' LIMIT 1"
    );
    $stmt->bind_param("s", $incomingHash);
    $stmt->execute();
    $result = $stmt->get_result();
    $keyData = $result->fetch_assoc();
    $stmt->close();

    if (!$keyData) {
        http_response_code(401);
        echo json_encode([
            'status'  => false,
            'message' => 'API Key tidak valid atau telah dinonaktifkan.'
        ]);
        exit;
    }

    // 5. Update waktu pemakaian terakhir secara asynchronous/background
    $updateStmt = $conn->prepare("UPDATE api_keys SET last_used_at = NOW() WHERE id = ?");
    $updateStmt->bind_param("i", $keyData['id']);
    $updateStmt->execute();
    $updateStmt->close();

    return $keyData;
}
?>

<?php
// api/produk.php
require_once "../koneksi.php";
require_once "../middleware_api.php";

// Jalankan validasi, jika gagal skrip otomatis berhenti di kode 401
$klien = validasiAksesApi($db);

// Jika lolos, jalankan logika endpoint biasa
header('Content-Type: application/json');
echo json_encode([
    'status'  => true,
    'message' => 'Selamat datang di API Produk',
    'klien'   => $klien['name'],
    'data'    => [
        ['id' => 1, 'nama' => 'Monitor Gaming 24 Inch', 'harga' => 1850000],
        ['id' => 2, 'nama' => 'Mouse Wireless Ergonomic', 'harga' => 320000]
    ]
]);
?>

<IfModule mod_rewrite.c>
    RewriteEngine On

    # Meneruskan Authorization header ke variabel PHP
    RewriteCond %{HTTP:Authorization} ^(.*)
    RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]
</IfModule>

// ❌ Rawan timing attack jika membandingkan token langsung
if ($tokenInput === $tokenDatabase) { ... }

// ✅ Aman dari timing attack: waktu eksekusi konstan
if (hash_equals($hashDatabase, $hashInput)) {
    // Kunci cocok sempurna
}

function cekRateLimit(int $apiKeyId, int $maksimalPerMenit, mysqli $conn): bool
{
    // Catat panggilan saat ini
    $insert = $conn->prepare("INSERT INTO api_logs (api_key_id, hit_at) VALUES (?, NOW())");
    $insert->bind_param("i", $apiKeyId);
    $insert->execute();
    $insert->close();

    // Hitung jumlah panggilan dalam 60 detik terakhir
    $stmt = $conn->prepare(
        "SELECT COUNT(*) AS total FROM api_logs 
         WHERE api_key_id = ? AND hit_at >= (NOW() - INTERVAL 1 MINUTE)"
    );
    $stmt->bind_param("i", $apiKeyId);
    $stmt->execute();
    $total = $stmt->get_result()->fetch_assoc()['total'];
    $stmt->close();

    return $total <= $maksimalPerMenit;
}