AADSTS900561: Error Endpoint Hanya Menerima POST

By Mirko Peters · 2026-04-22 · Updated 2026-07-28

Pahami error AADSTS900561 endpoint hanya menerima POST, penyebabnya saat masuk (sign-in) Microsoft Entra, dan cara memecahkan masalahnya dengan aman.

Automatically translated with AI from the original post. Read the English original

Jawaban Singkat: Error AADSTS900561 endpoint hanya menerima POST berarti endpoint autentikasi Microsoft Entra menerima permintaan dengan metode yang tidak didukung. Periksa alur sign-in aplikasi, penanganan redirect, dan URL persis yang dibuka, alih-alih terus-menerus mengubah pengaturan identitas di seluruh penyewa.

Pernah mengalami error AADSTS900561 saat bekerja dengan Microsoft Entra ID atau Azure Active Directory? Ini adalah error yang menampilkan pesan, “Endpoint only accepts POST requests.” Secara sederhana, artinya aplikasi Anda mencoba berkomunikasi dengan layanan autentikasi Microsoft menggunakan permintaan GET, padahal server mengharapkan POST. Ibaratnya, Anda mengetuk pintu belakang padahal seharusnya lewat pintu depan.

Error ini sering muncul saat Anda membangun atau mengintegrasikan aplikasi untuk Microsoft 365, Azure, atau Power Platform. Biasanya error ini terjadi selama alur sign-in atau saat mencoba mendapatkan token dari platform identitas Microsoft. Memahami apa yang memicu error AADSTS900561 sangat penting karena error ini langsung menunjukkan di mana panggilan autentikasi Anda tidak sesuai dengan persyaratan teknis Microsoft. Selanjutnya, mari kita uraikan mengapa error ini muncul dan bagaimana keterkaitannya dengan kode error lain yang sudah tidak asing, yaitu AADSTS90056.

Deskripsi dan Latar Belakang Error AADSTS90056 dan AADSTS900561

Sebelum Anda mulai memperbaiki error AADSTS900561, ada baiknya memahami dengan tepat apa yang sedang Anda hadapi. Baik AADSTS90056 maupun AADSTS900561 adalah kode error yang dikeluarkan oleh Microsoft Entra ID (sebelumnya Azure AD) ketika ada yang tidak beres dalam cara aplikasi Anda berkomunikasi dengan endpoint autentikasi. Ringkasnya: AADSTS90056 biasanya menunjuk pada parameter autentikasi yang salah atau tidak ada, sedangkan AADSTS900561 sangat spesifik pada masalah metode HTTP, yaitu ketika Anda menggunakan GET padahal yang diwajibkan adalah POST.

Microsoft Entra ID menerapkan aturan protokol yang ketat untuk pertukaran token dan alur autentikasi, yang sering dibangun di atas OAuth 2.0. Saat aplikasi Anda perlu mendapatkan token dengan memanggil endpoint /token, Microsoft mengharapkan Anda mengirim permintaan POST. Ini bukan sekadar Microsoft yang rewel. POST memungkinkan Anda mengirim data sensitif dengan aman di dalam body permintaan, bukan di URL, sehingga mengurangi risiko kebocoran dan pencatatan (logging) yang tidak disengaja.

Sebaliknya, permintaan GET ibarat buku terbuka. Detail Anda ditempatkan langsung di URL sehingga siapa pun atau proxy mana pun di sepanjang jalur dapat melihatnya. Ini menjadi masalah keamanan, terutama untuk layanan perusahaan yang mengelola identitas dan data sensitif. Karena itu, platform identitas Microsoft menerapkan POST untuk setiap tindakan yang melibatkan pertukaran secret, kode, atau informasi pengguna. Jika Anda mengirim GET, platform akan mendeteksinya dan menghentikan proses dengan error AADSTS900561. Memahami latar belakang teknis ini membantu Anda mengerti bukan hanya apa yang salah, tetapi juga mengapa aturan tersebut ada, dan mengapa aturan itu tidak dapat ditawar di seluruh layanan cloud Microsoft.

Singkatnya, jika Anda melihat salah satu kode ini saat autentikasi, berarti aplikasi Anda membuat permintaan yang tidak mengikuti aturan. Dengan memahami konteks keamanan dan alur protokol yang andal di balik kode error ini, Anda akan lebih jelas mengetahui apa yang perlu diperbaiki dan mengapa hal itu penting dalam lingkungan aplikasi profesional.

Penyebab Umum dan Solusi untuk Masalah Autentikasi AADSTS900561

Jika AADSTS900561 muncul, hampir pasti ada kesalahan dalam cara aplikasi Anda menghubungi endpoint token Microsoft. Salah satu penyebab utama adalah pendaftaran aplikasi (application registration) yang salah konfigurasi atau redirect URI yang keliru di Azure AD. Jika redirect URI yang terdaftar tidak sesuai dengan yang benar-benar digunakan aplikasi Anda, atau detail yang diperlukan tidak lengkap, Anda bisa tanpa sengaja memicu permintaan GET padahal yang diharapkan adalah POST.

Kesalahan umum lainnya ada pada cara alur autentikasi itu sendiri ditulis. Beberapa developer tanpa sengaja menggunakan GET saat memanggil endpoint /token, terutama jika mereka membuat permintaan secara manual atau salah memahami library yang digunakan. Pada OAuth 2.0 dengan Microsoft Entra, pengambilan token akhir harus selalu dikirim sebagai POST, bukan GET. Jika alur Anda mengirim GET pada langkah ini, error AADSTS900561 akan langsung muncul.

Jadi, bagaimana cara memperbaikinya? Mulailah dengan memeriksa ulang redirect URI Anda, baik di registrasi Azure portal maupun di konfigurasi lokal aplikasi Anda. Pastikan keduanya benar-benar sama persis, sampai ke protokol (http atau https) dan path-nya. Jika Anda menggunakan library MSAL atau ADAL, pastikan Anda tidak memakai versi lama atau menulis kode yang menimpa perilaku POST default-nya. Jika Anda menggunakan kode autentikasi kustom sendiri, periksa panggilan HTTP Anda untuk memastikan endpoint token selalu dipanggil dengan request POST.

Butuh bantuan kode? Ini tips singkatnya: di JavaScript, menggunakan fetch atau axios, pastikan panggilan Anda ke /token kurang lebih terlihat seperti method: 'POST'. Jika Anda melihat "endpoint only accepts post" di log atau browser Anda, itu tandanya Anda perlu memeriksa setiap langkah yang dijalankan kode Anda antara otorisasi dan pertukaran token, terutama jika aplikasi Anda berpindah-pindah antara logika front-end dan back-end. Untuk pembahasan lebih mendalam tentang risiko berbasis identitas dan solusi tata kelola di dunia nyata, silakan simak episode ini tentang identitas sebagai control plane dalam keamanan Azure.

Debugging dan Praktik Terbaik untuk Mencegah Error AADSTS900561

Mari kita bahas cara melacak error ini dan memastikan error ini tidak menghantui Anda lagi. Jika Anda menjalankan single page app (SPA) menggunakan React, Vue, atau Angular, buka developer tools browser Anda. Buka tab Network, coba alur login Anda, dan awasi dengan saksama request GET yang menuju endpoint /token. Begitu Anda melihatnya, berarti Anda sudah menemukan penyebabnya.

Terkadang, masalah ini terjadi karena library autentikasi Anda belum dikonfigurasi dengan benar. Di MSAL.js, misalnya, menggunakan loginRedirect padahal yang dimaksud adalah acquireTokenSilent, atau salah mengonfigurasi library, dapat menyebabkan request GET dikirim alih-alih POST. Memperbarui MSAL.js ke versi terbaru dan memeriksa ulang pengaturan inisialisasi Anda dapat menghemat banyak waktu dan kepusingan. Framework memang rewel, tetapi dokumentasi Microsoft cukup jelas bahwa request token harus menggunakan POST.

Jangan lupakan juga log Azure Anda. Periksa log sign-in Azure AD untuk melihat jejak request yang lebih detail. Anda akan melihat endpoint mana yang dipanggil, method apa yang digunakan, dan flag apa pun terkait ketidaksesuaian protokol. Jika Anda membutuhkan diagnostik mendalam, alat seperti Fiddler dapat menguraikan lalu lintas HTTP baris demi baris, sementara Application Insights dapat memetakan call stack langsung ke titik masalahnya.

Mencegah lebih baik daripada memadamkan api setelah kejadian. Selalu uji alur autentikasi Anda di lingkungan dev dan staging sebelum dirilis ke produksi. Pastikan setiap kode yang menukar authorization code menjadi token berjalan di sisi server, dengan POST, sesuai panduan OAuth 2.0. Menukar kode di browser adalah cara klasik untuk memicu AADSTS900561 dan membuka celah keamanan.

Jika Anda bekerja di lingkungan Microsoft 365 atau Azure yang besar, tinjau kembali pendekatan tata kelola Anda. Entra ID kini menopang banyak akses kritis, sehingga menjaga kebijakan Anda tetap ketat dan kode Anda mengikuti praktik terbaik Microsoft akan sangat memudahkan pekerjaan. Untuk informasi tentang merancang tata kelola yang tidak membiarkan celah terlewat, episode strategi tata kelola enterprise Azure ini sangat layak Anda simak.

Dan jika aplikasi Anda merupakan bagian dari Power Platform, atau sekadar menggunakan connector, kelola identitas dan connector Anda dengan cermat untuk menghindari architectural drift serta error izin yang tidak terduga. Anda dapat menemukan panduan yang bisa langsung diterapkan dalam sumber ini: praktik terbaik keamanan dan tata kelola Power Platform.

Intinya? Pahami alur autentikasi Anda, validasi setiap request, dan jaga agar tools Anda tetap diperbarui. Jika sebuah error tetap lolos, Anda akan tahu persis di mana harus mencari dan bagaimana menghilangkannya sepenuhnya.

Daftar Periksa Praktis

• Pastikan hasil akhir bagi pengguna dan cakupan yang terdampak.
• Gunakan konfigurasi atau pilihan komunikasi yang paling sempit namun tetap aman.
• Uji pengalamannya sebelum rollout secara luas.
• Dokumentasikan kepemilikan, tindak lanjut, dan poin evaluasi.

Pertanyaan Umum

Apa langkah pertama terbaik?

Identifikasi skenario pengguna dan hasil spesifik yang Anda butuhkan. Ini mencegah perubahan yang tidak perlu dan menghasilkan implementasi yang lebih jelas serta lebih andal.

🎧 Anda Juga Sebaiknya Dengarkan

• Identity Governance in Entra memberikan konteks tata kelola di sekitar administrasi identitas.
• Microsoft Entra Private Access – Simply Explained menjelaskan arsitektur identitas dan akses modern.
• Privileged Identity Management (PIM) – Simply Explained menambahkan konteks akses istimewa bagi administrator Entra.

Terakhir ditinjau: Juli 2026.