---
title: "Buat kunci API server"
description: "Buat kunci rahasia sk_live_ dari dasbor untuk panggilan server-ke-server ke API ThunderPhone, simpan dengan aman, lalu rotasikan atau cabut bila diperlukan."
---

Kunci API server (`sk_live_...`) mengautentikasi panggilan server-ke-server ke
API ThunderPhone. Kunci berada di **Organisasi → Kunci**.

<Warning>
  Kunci server adalah rahasia. Jangan pernah menyertakannya dalam kode sisi klien — untuk
  browser, gunakan
  [kunci yang dapat dipublikasikan](/api-reference/publishable-keys) (`pk_live_...`)
  yang dibatasi domain.
</Warning>

<Steps>
  <Step title="Buka tab Kunci">
    Buka **Organisasi → Kunci** lalu klik **Buat kunci**.
  </Step>
  <Step title="Beri nama">
    Pilih nama yang menunjukkan tempat kunci akan digunakan — misalnya "Backend
    produksi". Nama hanya berupa label; nama tidak memengaruhi akses.
  </Step>
  <Step title="Buat kunci">
    Klik **Buat kunci** dalam dialog. Tindakan ini menghasilkan rahasia.
  </Step>
  <Step title="Salin sekarang">
    Rahasia lengkap ditampilkan **tepat satu kali**. Salin ke
    pengelola rahasia Anda — setelah Anda keluar, hanya prefiks yang tetap terlihat.
  </Step>
</Steps>

## Gunakan

Kunci terikat pada organisasi ini, sehingga permintaan tidak memerlukan ID organisasi —
cukup header Bearer:

```bash
curl https://api.thunderphone.com/v1/agents \
  -H "Authorization: Bearer sk_live_YOUR_API_KEY"
```

Dari sini, [panduan cepat API](/id/quickstart) membawa Anda ke panggilan pertama
dalam tiga permintaan lagi.

## Rotasi dan cabut

Buat kunci baru, pindahkan layanan Anda, lalu hapus kunci lama
dari tab yang sama — daftar menampilkan prefiks dan nama setiap kunci sehingga Anda
dapat membedakannya. Untuk mengotomatiskan rotasi, panggil
[endpoint kunci API developer](/api-reference/developer-api-keys) dengan token
sesi yang sudah Masuk. Kunci `sk_live_` tidak dapat membuat, mencantumkan, atau mencabut
kunci, sehingga kunci yang bocor tidak dapat membuat penggantinya sendiri. Hal yang sama berlaku untuk
anggota, undangan, pengaturan pembayaran, dan
[kontrol akun](/api-reference/introduction#what-api-keys-cant-do).

<Note>
  Kunci API server adalah kredensial mesin dan dikecualikan dari kebijakan
  [**Wajibkan passkey**](/id/guides/sso) organisasi Anda —
  pengaturan tersebut memeriksa Masuk oleh manusia, bukan kunci `sk_live_...`.
  Karena itu, merotasi dan mencabut kunci dengan segera di sini adalah
  kontrol utama Anda atas akses API berkelanjutan; jika passkey diwajibkan,
  panel kebijakan keamanan menunjukkan jumlah kunci aktif yang saat ini
  dikecualikan.
</Note>

<Tip>
  Minta kopilot dalam aplikasi untuk "buat kunci API" dan kopilot akan memandu Anda
  melalui alur ini, dengan menyoroti setiap kontrol secara langsung.
</Tip>

---

## Langkah berikutnya

<CardGroup cols={2}>
  <Card title="Panduan cepat API" icon="terminal" href="/id/quickstart">
    Agen, nomor, webhook, panggilan pertama — empat panggilan REST.
  </Card>
  <Card title="Referensi autentikasi" icon="lock" href="/api-reference/introduction">
    Cara autentikasi Bearer dan pengikatan organisasi bekerja.
  </Card>
</CardGroup>