Developer

API dan MCP Hex256 untuk aplikasi dan agen Anda.

Satu API key, dua cara pakai: REST untuk backend, MCP untuk agen AI. Operasinya sama di kedua jalur, dengan scope dan hitungan hit yang sama.

Buat API key Quickstart llms.txt

Quickstart

Buat key di Pengaturan, bagian API dan MCP, lalu simpan: key hanya ditampilkan sekali.
Ekspor ke environment: export HEX256_API_KEY=hx_live_...
Jalankan handshake (0 hit) untuk memastikan key, scope, dan paket benar:

curl https://api.hex256.com/v1/ping -H "Authorization: Bearer $HEX256_API_KEY"

Dokumentasi ringkas untuk agen AI ada di /llms.txt dan /llms-full.txt. Batas per menit dan kuota bulanan per paket ada di bagian Harga.

Autentikasi

Buat key di Pengaturan, bagian API dan MCP. Key berbentuk hx_live_..., terikat ke satu workspace, dan hanya ditampilkan sekali. Kirim di setiap permintaan:

Authorization: Bearer hx_live_...

Setiap respons membawa header X-Hex256-Plan, X-Hex256-Hits-Used, dan X-Hex256-Hits-Included.

Endpoint

REST	Tool MCP	Scope	Hit
`GET /api/v1/ping` Handshake: nama workspace, scope key, paket dan sisa kuota. Gratis, tidak dihitung sebagai hit.	`status`	-	0
`GET /api/v1/cek` Cek pasif satu domain: email (SPF/DMARC), TLS, header keamanan, subdomain publik, kebijakan privasi. Tidak ada pemindaian aktif.	`cek_domain`	`cek:baca`	10
`GET /api/v1/temuan` Temuan workspace pemilik key, urut prioritas. Hanya ringkasan: tanpa bukti mentah, potongan kode, atau nilai secret.	`daftar_temuan`	`temuan:baca`	1
`POST /api/v1/kontrol` Petakan sampai 100 temuan (kind, ruleId, source) ke kontrol ISO 27001 Annex A dan pasal UU PDP. Tidak menyimpan apa pun.	`petakan_kontrol`	`kontrol:baca`	1
`POST /api/v1/insiden/draf` Draf checklist 3x24 jam dan notifikasi UU PDP Pasal 46 untuk satu temuan. Draf untuk ditinjau penasihat hukum, bukan penilaian bahwa kebocoran terjadi.	`draf_insiden`	`insiden:buat`	2
`POST /api/v1/ropa/draf` Draf ROPA (catatan aktivitas pemrosesan) dari schema SQL atau Prisma. Hanya struktur tabel yang dibaca; jangan kirim isi data.	`draf_ropa`	`ropa:buat`	5

cek:baca: Cek pasif domain (email, TLS, header, subdomain)
temuan:baca: Baca ringkasan temuan workspace (tanpa bukti mentah)
kontrol:baca: Petakan temuan ke kontrol ISO 27001 dan pasal UU PDP
insiden:buat: Buat draf checklist dan notifikasi UU PDP Pasal 46
ropa:buat: Buat draf ROPA dari schema database

Contoh

# Handshake: key, scope, paket (0 hit)
curl https://api.hex256.com/v1/ping -H "Authorization: Bearer $HEX256_API_KEY"

# Cek pasif domain (10 hit)
curl "https://api.hex256.com/v1/cek?domain=tokoanda.co.id" -H "Authorization: Bearer $HEX256_API_KEY"

# Petakan temuan ke ISO 27001 dan UU PDP (1 hit)
curl https://api.hex256.com/v1/kontrol -H "Authorization: Bearer $HEX256_API_KEY" -H "Content-Type: application/json" \
  -d '{"findings":[{"kind":"secret","ruleId":"generic-api-key","source":"gitleaks"}]}'

# Draf insiden UU PDP Pasal 46 (2 hit)
curl https://api.hex256.com/v1/insiden/draf -H "Authorization: Bearer $HEX256_API_KEY" -H "Content-Type: application/json" \
  -d '{"finding":{"kind":"cloud","ruleId":"cloud.supabase.table_public","title":"Tabel users terbuka","assetRef":"supabase:abcd/users"},"dataCategories":["data pribadi umum"]}'

MCP

Server MCP remote (Streamable HTTP, tanpa sesi) di https://api.hex256.com/mcp. Tambahkan ke klien MCP yang mendukung header, misalnya Claude Code, Cursor, atau agen Anda sendiri:

{
  "mcpServers": {
    "hex256": {
      "type": "http",
      "url": "https://api.hex256.com/mcp",
      "headers": {
        "Authorization": "Bearer hx_live_..."
      }
    }
  }
}

Dari terminal: claude mcp add --transport http hex256 https://api.hex256.com/mcp --header "Authorization: Bearer hx_live_...". Untuk memindai repo di laptop sendiri tanpa mengirim kode ke mana pun, pakai CLI lokal hex256 mcp.

Harga

Dihitung per hit. Operasi ringan 1 hit, cek domain 10 hit karena menjalankan puluhan kueri DNS dan TLS. Harga dalam Rupiah per bulan, belum termasuk PPN, bayar lewat transfer bank atau payment gateway dengan faktur resmi.

Paket	Harga	Hit per bulan	Per menit	Lewat kuota
Gratis	Gratis	1.000	10	Berhenti sampai bulan depan
Developer	Rp149.000	25.000	60	Rp8 per hit
Bisnis	Rp990.000	250.000	300	Rp4 per hit
Partner	Kontrak	Mulai 1.000.000	600	Sesuai kontrak

Paket Gratis cukup untuk sekitar 100 cek domain per bulan. Paket Partner untuk platform yang melayani banyak klien, dengan kuota, SLA, dan perjanjian pemrosesan data (DPA) tertulis. Hubungi kami lewat formulir pendaftaran untuk naik paket.

Kode error

Error selalu berbentuk {"error":{"code":"...","message":"..."}}.

HTTP	Kode	Arti
400	`INVALID_INPUT / INVALID_JSON / INVALID_DOMAIN`	Input tidak valid. Tidak dihitung sebagai hit.
401	`UNAUTHORIZED`	Key tidak ada, salah, atau sudah dicabut.
403	`FORBIDDEN_SCOPE`	Key tidak punya scope untuk endpoint ini.
413	`TOO_LARGE`	Body lebih dari 256 KB.
429	`RATE_LIMITED / QUOTA_EXCEEDED`	Batas per menit atau kuota bulanan paket Gratis tercapai. Lihat header Retry-After.
500	`INTERNAL`	Kesalahan di sisi Hex256.

Batasan dan data

API hanya menjalankan pemeriksaan pasif. Pemindaian aktif butuh verifikasi domain dan otorisasi tertulis di dasbor (UU ITE Pasal 30).
Temuan dikirim sebagai ringkasan: tanpa potongan kode, bukti mentah, atau nilai secret.
Draf ROPA dan insiden tidak disimpan. Kirim struktur schema saja, bukan isi data pribadi.
Draf insiden dan pemetaan kontrol adalah bahan kerja, bukan nasihat hukum. Untuk penilaian hukum, teruskan ke advokat, misalnya lewat Dampingin.