Kebijakan Keamanan & Pengungkapan Kerentanan

Terakhir diperbarui:

Keamanan merupakan bagian inti dari pekerjaan PT Baris Kode Solution (“Baris Kode”, “kami”) untuk klien, dan kami menerapkan standar yang sama pada diri kami sendiri. Jika Anda yakin telah menemukan kerentanan keamanan di salah satu sistem kami, kami ingin mengetahuinya dan akan bekerja sama dengan Anda untuk memperbaikinya.

Kebijakan ini menjelaskan cara melaporkan kerentanan, apa saja yang termasuk dalam ruang lingkup, aturan yang perlu Anda ikuti, dan apa yang dapat Anda harapkan dari kami. Ringkasan yang dapat dibaca mesin tersedia di /.well-known/security.txt.

1. Cara melaporkan kerentanan

Kirim email ke info@bariskode.com dengan subjek “Security report”. Mohon sertakan:

  • uraian kerentanan dan potensi dampaknya;
  • URL, sistem, atau komponen yang terdampak;
  • langkah-langkah untuk mereproduksinya, termasuk proof-of-concept jika ada;
  • tanggal dan waktu pengujian Anda, serta alamat IP yang Anda gunakan untuk menguji, jika memungkinkan;
  • cara Anda ingin disebutkan sebagai penemu, jika berkenan.

Anda dapat menulis dalam bahasa Indonesia atau bahasa Inggris. Mohon untuk tidak melaporkan kerentanan melalui saluran publik, seperti media sosial atau issue GitHub publik, sebelum kerentanan tersebut diperbaiki.

2. Ruang lingkup

2.1 Termasuk dalam ruang lingkup

  • Situs web bariskode.com dan subdomainnya yang dikelola oleh Baris Kode.
  • Layanan, aplikasi, dan infrastruktur yang dimiliki dan dioperasikan sendiri oleh Baris Kode, termasuk produk yang kami terbitkan sendiri.

2.2 Di luar ruang lingkup

  • Sistem klien, termasuk situs web dan aplikasi yang kami bangun atau kelola untuk klien, kecuali klien tersebut telah memberi Anda izin tertulis untuk mengujinya. Jika Anda menemukan masalah pada sistem klien, Anda dapat melaporkannya kepada kami dan kami akan meneruskannya kepada klien, tetapi kebijakan ini tidak memberikan izin untuk mengujinya.
  • Rekayasa sosial (social engineering), phishing, atau serangan fisik terhadap staf, kantor, atau klien kami.
  • Serangan denial-of-service, uji beban, atau tindakan apa pun yang menurunkan ketersediaan layanan.
  • Spam, atau pengiriman formulir kontak secara otomatis.
  • Kerentanan pada layanan pihak ketiga yang kami gunakan, seperti Netlify, Cloudflare, atau Web3Forms — mohon laporkan langsung kepada penyedia tersebut.
  • Tidak adanya header keamanan atau pengaturan praktik terbaik tanpa dampak keamanan yang dapat dibuktikan.
  • Self-XSS, atau masalah yang mengharuskan korban menempelkan kode ke perambannya sendiri.
  • Clickjacking pada halaman yang tidak memiliki tindakan sensitif.
  • Laporan yang hanya dihasilkan oleh pemindai otomatis tanpa dampak yang telah diverifikasi.
  • Kerentanan yang memerlukan peramban usang atau tidak didukung, atau perangkat yang telah disusupi.

3. Aturan bagi peneliti

Saat menyelidiki kerentanan, mohon:

  • hanya mengakses, menyalin, atau mengubah data seminimal mungkin yang diperlukan untuk membuktikan masalah, dan berhenti segera setelah Anda mengonfirmasinya;
  • tidak melihat, mengunduh, menyimpan, atau mengungkapkan data pribadi milik orang lain; jika Anda menemukannya, berhentilah, laporkan kepada kami, dan hapus data tersebut;
  • tidak menurunkan kinerja, mengganggu, atau merusak sistem kami maupun sistem pihak lain, dan tidak menggunakan alat otomatis dengan cara yang menimbulkan lalu lintas yang signifikan;
  • tidak menggunakan kerentanan untuk tujuan lain selain memverifikasinya, seperti berpindah ke sistem lain atau memasang akses permanen;
  • tidak meminta pembayaran atau imbalan lain sebagai syarat untuk tidak mengungkapkan kerentanan;
  • memberi kami waktu yang wajar untuk memperbaiki masalah sebelum mengungkapkannya ke publik — kami meminta 90 hari sejak laporan Anda, atau lebih singkat apabila kami telah merilis perbaikan lebih awal dan menyepakati pengungkapan dengan Anda.

4. Komitmen kami

Apabila Anda melaporkan kerentanan dengan iktikad baik sesuai kebijakan ini, kami akan:

  • mengonfirmasi penerimaan laporan Anda dalam 3 hari kerja;
  • menyelidiki, mengonfirmasi masalah, dan menyampaikan penilaian kami kepada Anda;
  • memberi tahu Anda perkembangan perbaikannya;
  • memberi tahu Anda ketika masalah telah diperbaiki dan mengoordinasikan pengungkapan publik bersama Anda;
  • menyebutkan nama Anda secara publik sebagai penemu, jika Anda menghendakinya.

5. Perlindungan hukum (safe harbor)

Apabila Anda berupaya dengan iktikad baik untuk mematuhi kebijakan ini, kami menganggap riset Anda sebagai riset yang diizinkan, dan kami tidak akan menempuh atau mendukung tindakan hukum terhadap Anda, termasuk berdasarkan UU ITE, sehubungan dengan riset tersebut. Apabila pihak ketiga menempuh tindakan hukum terhadap Anda atas kegiatan yang sesuai dengan kebijakan ini, kami akan menyampaikan bahwa riset Anda telah kami izinkan.

Perlindungan ini hanya berlaku untuk sistem yang termasuk dalam ruang lingkup dan untuk Baris Kode. Kami tidak dapat mengizinkan pengujian atas sistem milik pihak ketiga, termasuk klien dan penyedia layanan kami, dan tidak dapat mengikat mereka.

Jika Anda ragu apakah sesuatu termasuk dalam ruang lingkup atau diperbolehkan, tanyakan kepada kami di info@bariskode.com sebelum melanjutkan.

6. Imbalan

Saat ini kami belum menjalankan program bug bounty berbayar, sehingga kami tidak dapat memberikan imbalan berupa uang. Namun, kami sangat menghargai laporan yang bertanggung jawab dan dengan senang hati memberikan pengakuan publik.

7. Cara kami melindungi sistem kami sendiri

Situs web kami hanya dapat diakses melalui HTTPS dengan HTTP Strict Transport Security, menggunakan Content Security Policy yang ketat yang hanya mengizinkan skrip yang telah kami setujui, memuat sangat sedikit kode pihak ketiga, dan tidak memasang cookie. Informasi lebih lanjut tentang cara kami menangani data tersedia di Kebijakan Privasi kami.

8. Perubahan kebijakan ini

Kami dapat memperbarui kebijakan ini dari waktu ke waktu. Tanggal “Terakhir diperbarui” di bagian atas menunjukkan kapan kebijakan ini terakhir direvisi. Versi yang berlaku pada saat laporan Anda dikirimkan berlaku untuk laporan tersebut.

9. Kontak