# Izin akses

Apa yang boleh dilakukan sebuah request adalah yang lebih kecil dari dua hal: **scope** kredensial dan **peran** anggotanya.

## Scope

| Scope | Mengizinkan |
|---|---|
| `read` | Semua `GET`, plus [`POST /posts/validate`](/api/operations/validatepost/). Client MCP hanya melihat tool baca. |
| `write` | Semua yang diizinkan `read`, plus membuat, mengubah, menerbitkan dan menghapus konten, upload media, membalas komentar dan pesan, serta mengelola tag, slot antrean dan webhook. |

Kredensial hanya-baca yang mencoba mengubah sesuatu mendapat `403 FORBIDDEN` (`This key can only read…`).
`GET /me` mengembalikan scope kredensial sebagai `credential.scope`. Tiap operasi di [referensi API](/api/) diberi tanda
`x-scope: read` atau `write`.

## Peran

API key bertindak sebagai pemilik yang membuatnya. Token OAuth bertindak sebagai anggota yang menyetujui aplikasinya, yang bisa
saja seorang editor.

| Aksi | Pemilik | Editor |
|---|---|---|
| Membaca, membuat draft dan memvalidasi post | ✓ | ✓ |
| Menjadwalkan dan menerbitkan | ✓ | ✓, kecuali workspace mewajibkan persetujuan |
| Menyetujui atau menolak post yang diajukan | ✓ | |
| Mengelola webhook | ✓ | |
| Membalas komentar dan pesan | ✓ | ✓ |

## Alur persetujuan

Kalau workspace mewajibkan persetujuan pemilik (`workspace.approvalRequired` di `/me`), editor mengirim post dengan
`action: "submit"`. Post menunggu dengan `review: "pending"` sampai pemilik [menyetujui](/api/operations/approvepost/) atau
[menolaknya](/api/operations/rejectpost/). Lihat [Persetujuan](/id/guides/approvals/).

## Paket

Menulis butuh langganan atau trial aktif; membaca selalu bisa. Batas paket (akun, post per bulan, penyimpanan) berlaku di API
persis seperti di aplikasi dan mengembalikan `402 PLAN_LIMIT`.