Autentikasi dan login aplikasi web: yang wajib benar sejak awal

Jangan menulis ulang yang sudah teruji

Menyimpan dan memeriksa kata sandi adalah area yang penuh jebakan. Gunakan pustaka atau layanan autentikasi yang sudah matang, bukan membuat sendiri dari nol. Kata sandi tidak boleh disimpan apa adanya, tetapi diubah dengan algoritma hash yang dirancang khusus untuk itu.

Kerangka kerja modern umumnya menyediakan fasilitas ini. Manfaatkan, dan ikuti rekomendasi terbaru dari dokumentasinya.

Lapisan yang melindungi akun

Satu lapisan tidak pernah cukup. Kombinasikan beberapa.

• Verifikasi dua langkah, terutama untuk akun admin.
• Pembatasan percobaan login untuk menahan tebakan kata sandi.
• Kata sandi minimal panjang, bukan aturan simbol yang rumit.
• Notifikasi saat ada login dari perangkat baru.

Sesi dan keluar dengan aman

Atur masa berlaku sesi sesuai tingkat sensitivitas data. Aplikasi keuangan perlu batas lebih ketat daripada aplikasi internal biasa. Pastikan tombol keluar benar-benar mengakhiri sesi di sisi server, bukan hanya menghapus tampilan.

Sediakan cara melihat dan mencabut sesi aktif, terutama bila pengguna kehilangan perangkat.

Pemulihan akun adalah titik lemah

Fitur lupa kata sandi sering menjadi jalan masuk penyerang. Gunakan tautan sekali pakai dengan masa berlaku pendek, dan jangan memberi tahu apakah suatu email terdaftar atau tidak. Informasi sekecil itu membantu penyerang mengumpulkan daftar akun.

Login sosial dan SSO

Untuk pengguna yang sudah punya akun di layanan besar, login lewat penyedia pihak ketiga menurunkan hambatan sekaligus mengurangi tanggung jawab menyimpan kata sandi. Untuk perusahaan, SSO menyatukan akses karyawan dan memudahkan pencabutan saat seseorang keluar.