API menghubungkan aplikasi web, layanan internal, dan data bisnis. Karena sering diakses otomatis, gangguan kontrol akses dapat memengaruhi banyak pengguna dalam waktu singkat. Daftar pemeriksaan keamanan yang baik harus menjelaskan kontrol apa yang diterapkan, bukti pengujiannya, dan siapa penanggung jawabnya. Memiliki token autentikasi saja belum menjamin API aman.
Autentikasi bukan otorisasi
Autentikasi membuktikan identitas, sedangkan otorisasi menentukan tindakan dan objek apa yang boleh diakses. Endpoint GET /orders/123 harus mengecek apakah pemanggil berhak melihat pesanan 123, bukan sekadar apakah ia telah login. Risiko broken object level authorization menjadi perhatian utama dalam OWASP API Security Top 10. Terapkan pemeriksaan di sisi server, termasuk ketika UI menyembunyikan tombol tertentu.
Tujuh kontrol yang dapat ditinjau saat code review
- Identitas: metode autentikasi sesuai ancaman, sesi/token memiliki masa berlaku dan mekanisme pencabutan.
- Akses objek: izin diperiksa terhadap objek dan tindakan pada setiap permintaan relevan.
- Validasi: input, tipe data, ukuran, dan format divalidasi; operasi database tidak membangun query tidak aman.
- Rate limiting: pembatasan sesuai risiko untuk mencegah penyalahgunaan sumber daya dan percobaan berulang.
- Rahasia: kunci dan password disimpan di penyimpanan yang sesuai, bukan di kode atau log.
- Logging: kejadian keamanan penting tercatat dengan identitas konteks, tanpa membocorkan token atau data sensitif.
- Dependensi: pustaka, framework, dan komponen pendukung dipelihara dengan proses pembaruan yang terkendali.
Uji kegagalan, bukan hanya respons 200
Pengujian keamanan perlu mencoba akses tanpa token, token kedaluwarsa, pengguna dari organisasi lain, perubahan ID objek, input tidak valid, dan permintaan berulang. Contoh untuk sistem multi-tenant: pengguna perusahaan A tidak boleh membaca, mengubah, atau menghapus data perusahaan B meskipun menebak ID yang valid. Untuk setiap kasus, catat hasil yang diharapkan dan keluaran aktual.
Jangan menganggap gateway menyelesaikan semua masalah
API gateway dapat membantu routing, autentikasi tertentu, pembatasan, dan observabilitas. Tetapi aturan kepemilikan data dan otorisasi bisnis sering hanya diketahui oleh layanan aplikasi. Tim harus menentukan kontrol mana berada pada gateway, service, database, dan proses organisasi, lalu memastikan tidak ada asumsi “sudah dicek oleh lapisan lain”.
Siapkan mekanisme respons insiden
Sediakan prosedur mencabut kunci, menonaktifkan integrasi berisiko, memeriksa log, dan mengidentifikasi dampak. Jalur eskalasi sebaiknya melibatkan pemilik layanan, keamanan, dan pengelola bisnis. Hindari menyimpan kredensial di dokumen insiden yang dibagikan luas; gunakan referensi rahasia yang aman.
Checklist sebelum release
Pastikan pengujian otorisasi per-objek dan per-peran telah dilakukan; rahasia tidak muncul pada repository dan log; skenario negatif tercakup; perubahan endpoint terdokumentasi; serta pemantauan kegagalan tersedia. Untuk detail teknis lanjutan, lihat OWASP REST Security Cheat Sheet.
Jika perusahaan memerlukan engineer dengan kompetensi keamanan, backend, dan QA, mulai dari halaman tenaga ahli IT sebelum menyusun scope penugasan.
Foto: Kevin Ache / Unsplash. Checklist ini bersifat pengantar dan tidak menggantikan threat modeling, pengujian keamanan, atau kebijakan internal.
