Website yang berjalan di laptop belum tentu siap dipakai pengguna lain. Build yang sukses membuktikan bahwa proses build berhasil, tetapi belum membuktikan login aman, batas akses benar, atau versi production sama dengan kode yang baru diuji.
Mulai dari tiga area yang dapat diperiksa tanpa mengganti framework atau menulis ulang aplikasi.
1. Struktur project: bisakah satu fitur ditelusuri?
Ambil satu alur penting, misalnya membuat pesanan atau menyimpan data profil. Temukan halaman yang dipakai pengguna, handler atau API yang menerima request, validasi input, dan bagian yang menyimpan data.
Jika satu perubahan kecil memerlukan edit di banyak tempat yang tidak berhubungan, catat sebagai risiko pemeliharaan. Jangan otomatis menyimpulkan bahwa setiap project perlu microservices. Untuk banyak aplikasi web, satu aplikasi dengan pembagian modul yang jelas justru lebih mudah dioperasikan.
Pertanyaan pembuka:
- Di mana fitur ini dimulai dan berakhir?
- Apakah ada fungsi bersama yang mengubah perilaku banyak modul?
- Tes mana yang bisa membuktikan fitur tidak rusak setelah revisi?
Gunakan Audit Struktur Project untuk checklist awal dan prompt inspeksi repository.
2. Authentication: apa yang terjadi jika sesi tidak ada?
Jangan hanya memeriksa apakah halaman login tampil. Coba alur tanpa login, sesi kedaluwarsa, dan logout dengan akun uji.
Proteksi yang hanya menyembunyikan tombol pada browser bukan kontrol akses. Server harus menolak request yang tidak terautentikasi ketika endpoint mensyaratkan login.
Periksa juga konfigurasi cookie sesi, HTTPS, dan invalidasi setelah logout. Detailnya berbeda menurut framework, jadi kesimpulan harus berasal dari source serta pengujian aktual.
Gunakan Audit Authentication sebagai panduan.
3. User permissions: siapa berhak membaca data siapa?
Pengguna yang sudah login tidak otomatis boleh melihat semua data. Uji apakah akun A dapat meminta objek milik akun B dengan mengganti identifier pada request di lingkungan aman.
Jika aplikasi multi-tenant, cek apakah penyaringan tenant berjalan di setiap query penting. Pengujian negatif ini lebih bermakna daripada melihat menu admin tersembunyi.
Gunakan Audit User & Permissions untuk membuat matriks izin dan daftar tes.
Setelah ketiganya diperiksa
Buat daftar temuan dengan bukti kode, dampak, prioritas, dan cara mengulang tes. Jangan langsung mengubah sepuluh file karena satu dugaan. Selesaikan temuan penting lebih dulu, build ulang, lalu cek alur inti di production dengan data uji yang aman.
Catatan: ketiga audit ini adalah titik awal, bukan pengganti security review menyeluruh, pengujian beban, atau verifikasi sistem pembayaran.
Sudah siap memeriksa project?
Gunakan 3 Audit Fundamental gratis untuk struktur project, login, dan hak akses user. Hasil checklist adalah penilaian awal, bukan scan kode.
Mulai audit gratis →