Keamanan Dasar Web App yang Sering Diabaikan Developer

1. Validasi Input: Jangan Pernah Percaya User

Sebagian besar celah keamanan terjadi karena aplikasi menerima data mentah dari user tanpa disaring. Entah itu lewat form, URL query, atau header.

• SQL Injection (SQLi): Terjadi saat input dari user langsung digabung ke query database. Selalu gunakan parameterized queries atau Prepared Statements.
• Cross-Site Scripting (XSS): Terjadi saat aplikasi merender input user langsung ke HTML tanpa di-escape.
• Sanitasi & Validasi: Validasi tipe data di sisi backend, bukan cuma di frontend.

Pro-Tip: Anggap semua data yang dikirim dari klien adalah ancaman sampai terbukti aman.

2. Manajemen Autentikasi dan Sesi yang Benar

Sistem login yang salah bikin seluruh benteng aplikasi jebol. Jangan pernah menyimpan password mentah di database; gunakan hashing yang kuat seperti Argon2 atau bcrypt.

• Token & Cookie: Simpan token JWT di HttpOnly Cookie alih-alih localStorage untuk mencegah pencurian lewat XSS.
• Rate Limiting: Pasang pembatasan percobaan login untuk mencegah serangan brute force.

3. Kontrol Akses (Authorization) yang Ketat

Banyak aplikasi sudah menerapkan Authentication (siapa kamu?), tapi lupa Authorization (boleh nggak kamu akses halaman ini?). Kesalahan klasik adalah Insecure Direct Object References (IDOR), di mana user bisa mengakses data user lain hanya dengan mengganti ID di URL.

4. Konfigurasi HTTPS dan Header Keamanan

Jangan biarkan data lewat di jalur plain text. Wajib gunakan HTTPS dan pasang header keamanan seperti Content-Security-Policy (CSP) dan Strict-Transport-Security (HSTS).

5. Manajemen Ketergantungan (Dependencies)

Aplikasi modern dibangun di atas ribuan package pihak ketiga. Jalankan pemindaian kerentanan secara berkala pakai perintah seperti npm audit atau dependabot.

Kesimpulan

Keamanan web app bukan fitur yang bisa dipasang sekali jalan, tapi proses yang terus berjalan. Terapkan fondasi ini sejak hari pertama sebelum aplikasi dirilis ke publik.