API gateway adalah pintu masuk tunggal yang menghubungkan pengguna dengan berbagai layanan di balik aplikasi modern. Bayangkan sebuah gedung perkantoran besar dengan puluhan perusahaan di dalamnya. Tamu tidak perlu mengetahui lokasi setiap kantor. Mereka cukup datang ke resepsionis, yang memeriksa identitas, mencatat kunjungan, lalu mengarahkan ke tujuan yang tepat.
Peran itulah yang dijalankan API gateway. Ketika aplikasi tumbuh dan dipecah menjadi banyak layanan kecil, klien seperti situs web dan aplikasi seluler tidak lagi bisa menghafal alamat setiap layanan. Tanpa penghubung yang rapi, setiap layanan harus mengurus keamanan, pembatasan akses, dan pencatatan sendiri-sendiri. Hasilnya adalah pekerjaan ganda dan celah yang mudah terlewat.
Artikel ini menjelaskan apa itu API gateway, cara kerjanya, tujuh fungsi pentingnya, pola penerapannya, dan perbedaannya dengan load balancer serta service mesh. Selain itu, Anda akan menemukan contoh kode sederhana, risiko yang perlu diwaspadai, dan kapan bisnis Anda benar-benar membutuhkannya.
Daftar Isi
- Apa itu API gateway dan cara kerjanya
- Mengapa aplikasi modern membutuhkan API gateway
- 7 fungsi penting API gateway
- Pola API gateway
- API gateway, load balancer, dan service mesh
- Contoh konfigurasi API gateway sederhana
- Kelebihan dan risiko API gateway
- Kapan Anda membutuhkan API gateway
- Daftar periksa API gateway
- Kesimpulan
Apa Itu API Gateway dan Bagaimana Cara Kerjanya?
Menurut panduan arsitektur Microsoft tentang API gateway untuk microservices, API gateway menyediakan titik masuk terpusat untuk mengelola interaksi antara klien dan layanan aplikasi. Ia bekerja sebagai reverse proxy yang meneruskan permintaan klien ke layanan yang sesuai. Selain itu, ia dapat menangani tugas lintas layanan seperti autentikasi, penghentian SSL, dan pembatasan laju.
Alur kerjanya bisa dibayangkan dalam empat langkah. Pertama, klien mengirim permintaan ke satu alamat, yaitu gateway. Kedua, gateway memeriksa permintaan tersebut, misalnya memastikan token valid dan jumlah permintaan belum melewati batas. Ketiga, gateway meneruskan permintaan ke layanan yang tepat di belakangnya. Keempat, hasil dari layanan dikembalikan ke klien melalui gateway.
Jika Anda belum akrab dengan konsep dasar API, pelajari dulu Apa Itu API? Pengertian, Cara Kerja, dan Contoh Penggunaannya. Memahami API membantu Anda melihat mengapa sebuah gerbang di depannya menjadi penting.
Mengapa Aplikasi Modern Membutuhkan API Gateway?
Aplikasi modern jarang berbentuk satu program besar. Banyak tim memecahnya menjadi layanan kecil yang berdiri sendiri, misalnya layanan pengguna, pesanan, pembayaran, dan notifikasi. Pemecahan ini memberi fleksibilitas, tetapi menimbulkan beberapa masalah baru.
- Klien harus mengenal banyak alamat. Aplikasi seluler perlu tahu tiap layanan, sehingga perubahan di belakang layar ikut memengaruhi klien.
- Urusan lintas layanan terduplikasi. Panduan Microsoft menyebut bahwa tiap layanan yang menghadap publik harus menangani autentikasi, SSL, dan pembatasan laju klien. Dengan gateway, urusan itu cukup dikerjakan di satu tempat.
- Satu layar bisa memanggil banyak layanan. Halaman beranda mungkin membutuhkan data pengguna, pesanan, dan rekomendasi sekaligus.
- Klien berbeda butuh bentuk data berbeda. Situs web dan aplikasi seluler sering membutuhkan respons yang tidak sama.
Karena itu, API gateway menjadi bagian penting dari aplikasi modern yang berjalan di banyak layanan. Peran ini makin menonjol ketika aplikasi berjalan di infrastruktur cloud, seperti dibahas di Mengapa Cloud Computing Menjadi Pilihan Utama Infrastruktur Digital?.
7 Fungsi Penting API Gateway
1. Routing Permintaan
Fungsi paling dasar adalah mengarahkan permintaan ke layanan yang tepat berdasarkan jalur, header, atau versi. Misalnya, semua permintaan ke /pengguna diarahkan ke layanan pengguna, sedangkan /pesanan diarahkan ke layanan pesanan. Klien cukup mengenal satu alamat, dan tim bisa memindahkan layanan tanpa mengubah klien.
2. Autentikasi dan Otorisasi
Gateway dapat memeriksa identitas klien lewat API key, token JWT, atau OAuth sebelum permintaan masuk lebih jauh. Permintaan yang tidak sah ditolak di gerbang, sehingga layanan di belakangnya tidak perlu menanganinya. Prinsip ini sejalan dengan pendekatan Zero Trust Security: Pendekatan Keamanan yang Perlu Dipahami Bisnis Digital, yaitu memeriksa setiap permintaan alih-alih mempercayainya begitu saja.
3. Pembatasan Laju (Rate Limiting)
Gateway bisa membatasi jumlah permintaan per klien dalam jangka waktu tertentu. Fungsi ini melindungi layanan dari lonjakan trafik, bot, dan penyalahgunaan. Panduan Microsoft memasukkan pembatasan laju klien (throttling) sebagai salah satu hal yang bisa dialihkan ke gateway.
4. Penghentian SSL dan Keamanan Transport
Gateway dapat menangani enkripsi HTTPS di pintu masuk, sehingga sertifikat tidak perlu dikelola di setiap layanan. Beberapa gateway juga mendukung mutual TLS dan daftar izin atau blokir alamat IP. Hal ini menyederhanakan pengelolaan sekaligus mengurangi risiko salah konfigurasi. Dasar-dasar perlindungan situs dibahas di Keamanan Website: 10 Cara Ampuh Cegah Peretasan.
5. Agregasi Permintaan
Ketika satu operasi membutuhkan data dari banyak layanan, gateway dapat menggabungkannya. Klien mengirim satu permintaan, lalu gateway memanggil beberapa layanan dan menyusun satu respons. Cara ini mengurangi jumlah perjalanan jaringan, yang sangat membantu pada koneksi seluler.
6. Pencatatan dan Pemantauan
Karena semua permintaan melewati gateway, tempat ini ideal untuk mencatat log akses, menghitung jumlah permintaan, mengukur waktu respons, dan menangkap kesalahan. Hasilnya, Anda memiliki gambaran terpusat tentang kesehatan sistem, bukan potongan log dari banyak tempat.
7. Transformasi dan Pengelolaan Versi
Gateway dapat mengubah bentuk permintaan atau respons, menambahkan header, dan menjaga beberapa versi API tetap berjalan bersamaan. Fitur ini membantu tim memperbarui layanan secara bertahap tanpa memaksa semua klien berpindah pada hari yang sama.
Pola API Gateway: Gateway Tunggal, BFF, dan Routing
Tidak ada satu bentuk yang cocok untuk semua kasus. Beberapa pola yang umum dipakai adalah sebagai berikut.
| Pola | Cara Kerja | Kelebihan | Catatan |
|---|---|---|---|
| Gateway tunggal | Satu gateway untuk semua klien dan layanan | Sederhana dan kebijakan terpusat | Bisa menjadi hambatan atau terlalu besar |
| Backend for Frontend (BFF) | Satu gateway untuk tiap jenis klien, misalnya web dan seluler | Respons disesuaikan dengan kebutuhan klien | Lebih banyak komponen untuk dirawat |
| Gateway routing | Hanya meneruskan permintaan berdasarkan jalur atau header | Ringan dan cepat | Cocok jika layanan sudah memberi antarmuka yang pas |
Panduan Microsoft juga mengingatkan agar Anda menilai apakah satu gateway sudah cukup atau perlu beberapa gateway, karena dukungan fitur seperti autentikasi dan pembatasan laju bisa berbeda antarproduk.
API Gateway, Load Balancer, dan Service Mesh: Apa Bedanya?
Ketiganya sering tertukar karena sama-sama berada di jalur lalu lintas data. Namun, fokusnya berbeda.
| Komponen | Fokus Utama | Contoh Tugas |
|---|---|---|
| API gateway | Pintu masuk dari luar ke layanan | Autentikasi, pembatasan laju, routing, agregasi |
| Load balancer | Membagi beban ke beberapa instance dari layanan yang sama | Mengirim permintaan ke server yang sehat |
| Service mesh | Komunikasi antarlayanan di dalam sistem | mTLS internal, circuit breaking, pemantauan antarlayanan |
Sederhananya, API gateway menjaga pintu depan, load balancer membagi pengunjung ke meja yang tersedia, dan service mesh mengatur lalu lintas antarruangan di dalam gedung. Pada sistem besar, ketiganya sering dipakai bersamaan.
Contoh Konfigurasi API Gateway Sederhana
Berikut contoh gateway sederhana dengan Node.js, Express, dan http-proxy-middleware. Contoh ini memeriksa token, lalu meneruskan permintaan ke dua layanan berbeda. Fungsi verifikasiToken adalah milik Anda sendiri, misalnya memverifikasi JWT.
import express from 'express';
import { createProxyMiddleware } from 'http-proxy-middleware';
const app = express();
// Memeriksa token sebelum permintaan diteruskan
function wajibLogin(req, res, next) {
const token = req.headers.authorization?.split(' ')[1];
if (!token || !verifikasiToken(token)) {
return res.status(401).json({ error: 'Token tidak valid' });
}
next();
}
// Semua permintaan ke /pengguna diteruskan ke layanan pengguna
app.use('/pengguna', wajibLogin, createProxyMiddleware({
target: 'http://layanan-pengguna:3001',
changeOrigin: true,
pathRewrite: { '^/pengguna': '' },
}));
// Semua permintaan ke /pesanan diteruskan ke layanan pesanan
app.use('/pesanan', wajibLogin, createProxyMiddleware({
target: 'http://layanan-pesanan:3002',
changeOrigin: true,
pathRewrite: { '^/pesanan': '' },
}));
app.listen(8080);Gateway sederhana seperti ini cukup untuk belajar. Pada produksi, Anda perlu menambahkan HTTPS, pembatasan laju, pencatatan, dan penanganan kegagalan layanan. Alternatifnya adalah reverse proxy seperti NGINX, yang mampu membatasi laju permintaan dengan konfigurasi singkat berikut.
# Di dalam blok http
limit_req_zone $binary_remote_addr zone=api_limit:10m rate=10r/s;
server {
listen 80;
server_name api.contoh.co.id;
location /pengguna/ {
limit_req zone=api_limit burst=20 nodelay;
proxy_pass http://layanan_pengguna:3001/;
}
location /pesanan/ {
limit_req zone=api_limit burst=20 nodelay;
proxy_pass http://layanan_pesanan:3002/;
}
}Angka laju dan burst di atas hanya contoh. Sesuaikan dengan pola trafik Anda. Untuk produk gateway lengkap, ada pilihan dari penyedia cloud maupun perangkat lunak khusus. Pertimbangan memilih antara membangun sendiri atau memakai produk jadi dibahas di Build vs Buy: Lebih Baik Membuat Software Sendiri atau Menggunakan Produk Jadi?.
Kelebihan dan Risiko API Gateway
Kelebihan:
- Satu pintu masuk untuk semua klien.
- Keamanan dan kebijakan akses diatur terpusat.
- Layanan di belakangnya lebih fokus pada logika bisnis.
- Perubahan layanan tidak langsung memengaruhi klien.
- Pencatatan dan pemantauan menjadi seragam.
Risiko dan cara mengatasinya:
- Hambatan dan titik kegagalan tunggal. Jika gateway mati, semua layanan tidak terjangkau. Jalankan beberapa instance dan siapkan pemantauan kesehatan.
- Latensi tambahan. Setiap permintaan melewati satu pemberhentian lagi. Ukur dampaknya dan jaga agar gateway tetap ringan.
- Logika bisnis menumpuk di gateway. Simpan gateway untuk urusan lintas layanan, bukan untuk aturan bisnis.
- Konfigurasi yang salah. Aturan akses yang terlalu longgar membuka seluruh sistem. Tinjau konfigurasi secara berkala.
- Kompleksitas pengelolaan. Tambahan komponen berarti tambahan perawatan. Pastikan tim siap mengelolanya.
Kapan Anda Membutuhkan API Gateway?
API gateway paling bermanfaat jika:
- Aplikasi Anda terdiri dari beberapa layanan yang diakses klien secara langsung.
- Anda memiliki lebih dari satu jenis klien, seperti web, seluler, dan mitra.
- Anda ingin mengatur autentikasi dan pembatasan laju di satu tempat.
- Anda berencana membuka API untuk pihak lain.
Sebaliknya, aplikasi monolit kecil dengan satu klien sering belum membutuhkannya. Menambah gateway terlalu dini hanya menambah komponen yang harus dirawat. Jika aplikasi Anda masih berupa sistem lama yang sulit dipecah, pertimbangkan lebih dulu langkah pembaruan di Legacy System Modernization: Kapan Software Lama Perlu Diperbarui?.
Daftar Periksa API Gateway sebelum Dipakai
- Apakah Anda memiliki beberapa layanan atau klien yang membutuhkan satu pintu masuk?
- Apakah autentikasi dan otorisasi sudah ditentukan di gateway?
- Apakah pembatasan laju sudah diatur dan diuji?
- Apakah HTTPS aktif dan sertifikat dikelola dengan benar?
- Apakah gateway berjalan dalam beberapa instance untuk menghindari titik kegagalan tunggal?
- Apakah log, metrik, dan peringatan sudah dipantau?
- Apakah logika bisnis tetap berada di layanan, bukan di gateway?
- Apakah tim siap merawat dan memperbarui konfigurasinya?
Kesimpulan: API Gateway Membuat Aplikasi Modern Lebih Rapi dan Aman
API gateway menjadi pintu masuk tunggal yang mengarahkan permintaan ke layanan yang tepat, sekaligus menangani autentikasi, pembatasan laju, keamanan transport, agregasi, dan pencatatan. Bagi aplikasi modern yang terdiri dari banyak layanan, peran ini mengurangi pekerjaan ganda dan membuat sistem lebih mudah dikelola.
Namun, gateway bukan solusi untuk semua kasus. Ia menambah komponen yang perlu dirawat dan bisa menjadi titik kegagalan jika tidak dirancang dengan benar. Mulailah dari kebutuhan nyata, pilih pola yang sesuai, jalankan lebih dari satu instance, dan pantau hasilnya.
Butuh bantuan merancang arsitektur aplikasi yang aman dan mudah dikembangkan? Tim kami siap membantu lewat layanan pengembangan aplikasi dan website Powercode.
Artikel Menarik Lainnya di Blog Powercode
Lanjutkan membaca topik teknologi lain yang relevan untuk bisnis dan tim pengembang Anda:
- Apa Itu API? Pengertian, Cara Kerja, dan Contoh Penggunaannya
- Mengapa Cloud Computing Menjadi Pilihan Utama Infrastruktur Digital?
- Zero Trust Security: Pendekatan Keamanan yang Perlu Dipahami Bisnis Digital
- Legacy System Modernization: Kapan Software Lama Perlu Diperbarui?
- Build vs Buy: Lebih Baik Membuat Software Sendiri atau Menggunakan Produk Jadi?
- Bagaimana AI Mengubah Cara Developer Membangun Aplikasi?