Di Balik Layar: Cara TanggletForm Menjaga Form Tetap Aman

Keamanan yang bagus itu seperti satpam yang baik: kamu nyaris tidak sadar dia ada, sampai suatu hari dia menyelamatkan harimu. Nah, ini intipan ke "pos satpam" TanggletForm. Bukan untuk pamer, tapi supaya kamu tahu apa saja yang bekerja di belakang layar.

Lapis 1: penanda risiko otomatis

Admin TanggletForm punya daftar semua form, dan sistem menandai form yang memuat kata-kata sensitif seperti kata sandi, OTP, PIN, atau data kartu. Penandanya berupa label peringatan di daftar admin.

Penting: ini penanda, bukan vonis. Form kuis tentang keamanan siber bisa saja menyebut kata "OTP" tanpa niat jahat. Karena itu, keputusan akhir tetap di tangan manusia. Sistem hanya membantu admin tahu mana yang perlu dilihat lebih dulu.

Lapis 2: laporan dari pengisi

Tidak ada sistem yang lebih jeli daripada orang yang benar-benar membuka formnya. Itulah kenapa tiap form punya tautan Laporkan form ini. Admin bisa menyaring form yang sudah dilaporkan dan melihat jumlah laporannya.

Lapis 3: pembatas dan jebakan spam

Dua trik sederhana yang efektif:

• Pembatas laju (rate limit). Terlalu banyak permintaan dalam waktu singkat dari satu sumber akan ditolak. Ini berlaku untuk pengiriman jawaban maupun laporan.
• Honeypot. Ada kolom tersembunyi yang tidak terlihat manusia. Bot yang mengisi semua kolom otomatis akan "terpeleset" masuk ke situ dan ditolak.

Untuk form yang butuh perlindungan lebih, pembuat form bisa mengaktifkan reCAPTCHA wajib dan satu jawaban per perangkat. Detailnya ada di artikel soal mencegah isian ganda dan spam.

Lapis 4: fondasi teknis

Di sisi teknis, aplikasi memakai kebijakan keamanan konten (CSP) yang ketat dengan nonce per permintaan, sehingga skrip yang tidak dikenal tidak bisa jalan sembarangan. Halaman form juga tidak boleh dibingkai di situs lain, jadi sulit ditempel diam-diam ke halaman jebakan.

Lapis 5: privasi

Alamat IP tidak disimpan mentah untuk keperluan pembatasan dan catatan. Yang tersimpan berupa hash, sehingga cukup untuk mendeteksi pola penyalahgunaan tanpa mencatat siapa kamu sebenarnya.

Jadi, apakah 100% aman?

Jujur saja: tidak ada layanan yang bisa menjanjikan 100%. Yang bisa kami janjikan adalah berlapis-lapis pengaman, peninjauan manusia, dan kemauan untuk memperbaiki. Kalau kamu menemukan sesuatu yang janggal, laporkan atau kirim email ke [email protected].

Dan satu aturan emas yang tidak berubah: form yang sah tidak akan pernah meminta kata sandi atau OTP-mu. 🔐