Pada Juni 2026 kami menjalankan audit keamanan menyeluruh terhadap platform. Sembilan temuan ditambal dan dirilis dalam satu pekan yang sama. Tulisan ini menjelaskan bagaimana itu mungkin, dan apa yang kami pelajari.
Satu kelas kesalahan, banyak wujud
Hampir seluruh temuan berpangkal pada pola yang sama: wewenang diperiksa di sisi tampilan, tetapi tidak diulang di sisi peladen. Halaman menyembunyikan tombol dari orang yang tidak berhak — dan itu benar-benar berfungsi bagi pengguna biasa. Tetapi permintaan yang dirakit tangan tidak pernah melihat tombol itu, dan tidak ada yang menghentikannya di ujung sana.
Wujudnya bermacam-macam: identitas mahasiswa yang sedang dibuka dikirim bolak-balik antara peramban dan peladen sehingga bisa diganti dari sisi peramban; input nilai kolektif yang tidak dibatasi pada kelas yang berhak; alamat berkas bukti pembayaran pendaftar yang bisa ditebak dan dibuka tanpa masuk. Berbeda-beda halamannya, sama akar masalahnya.
Mengapa penambalannya cepat
Menambal sembilan celah dalam sepekan bukan soal kerja lembur. Ia bersandar pada pekerjaan dua bulan sebelumnya yang tampak sama sekali tidak berhubungan: audit cakupan pengujian yang tuntas akhir April 2026 dan menaikkan jumlah test yang lulus dari 806 menjadi 1.322.
Perbedaannya begini. Menambal celah wewenang berarti menyentuh jalur yang dipakai setiap hari oleh ribuan orang. Tanpa jaring pengujian, setiap tambalan menuntut penelusuran manual untuk memastikan tidak ada yang rusak sebagai efek samping — dan penelusuran itulah yang memakan waktu, bukan penulisan tambalannya. Dengan jaring yang rapat, jawabannya datang dalam hitungan menit.
Yang kami ubah setelahnya
- Pemeriksaan wewenang untuk aksi kustom tidak lagi bergantung pada ingatan penulis kode. Ada guard di jalur integrasi berkelanjutan yang menolak aksi baru tanpa pemeriksaan izin.
- Properti identitas pada komponen antarmuka ditandai terkunci sebagai bawaan, bukan sebagai pengecualian yang harus diingat.
- Penayangan HTML mendapat lapis pertahanan kedua di sisi tampilan, karena lapis pertama di sisi penyimpanan tidak menjangkau data yang masuk lewat jalur migrasi.
Catatan terbuka
Temuan-temuan ini berasal dari audit internal, bukan dari laporan penyalahgunaan, dan kami tidak menemukan bukti bahwa celahnya pernah dieksploitasi. Kami memilih menuliskannya secara terbuka. Kampus yang menyerahkan data mahasiswanya kepada sebuah platform berhak tahu bagaimana platform itu memperlakukan temuan keamanannya sendiri.