Isolasi per pelanggan
Platform ini bersifat multi-tenant dengan pemisahan logis yang ketat: setiap pembacaan dan setiap penulisan dibatasi pada pengenal akun Anda, baik di lapisan data maupun di lapisan aplikasi. Informasi Anda tidak dapat dilihat atau dijangkau dari akun pelanggan lain mana pun, dan tidak ada kueri global yang dapat diakses pengguna.
- Verifikasi berkelanjutan, bukan janji. Pengawas otomatis secara berkala memeriksa lingkungan produksi untuk mencari konfigurasi apa pun yang dapat mencampur informasi antarakun, lalu melaporkannya ke indikator kesehatan platform. Pemisahan tidak diasumsikan: pemisahan diukur.
- Titik akses publik (formulir, widget, webhook) dibuat seminimal mungkin dan diautentikasi dengan token atau pengenal dengan cakupan terbatas; selebihnya memerlukan sesi yang terautentikasi.
- Perubahan disiapkan dan diuji di lingkungan kerja terpisah sebelum dipublikasikan ke produksi.
Identitas dan kontrol akses
- Kata sandi yang tidak dapat dipulihkan. Kata sandi hanya disimpan sebagai hash kriptografis satu arah dengan salt (bcrypt). Tidak ada seorang pun, termasuk tim OMB sendiri, yang dapat membaca atau merekonstruksinya.
- Peran dengan hak akses minimum. Pemilik, administrator, dan pengguna, dengan izin per modul: setiap orang hanya melihat apa yang dibutuhkan oleh fungsinya.
- Sesi yang diperkuat. Cookie Secure, HttpOnly, dan SameSite; mekanisme pengingat sesi menggunakan token terpisah yang berganti setiap kali digunakan dan dibandingkan dalam waktu konstan, sehingga cookie lama yang dicuri tidak dapat membuka akun.
- Autentikasi dua faktor tersedia untuk akun yang memerlukannya, dan kunci sandi (passkeys) sedang diterapkan sebagai metode utama karena secara desain tahan terhadap phishing.
- Verifikasi tambahan per modul. Modul yang Anda tandai sebagai sensitif dapat mewajibkan verifikasi tambahan saat dibuka, meskipun sesi sudah aktif, mengikuti praktik perbankan online.
Enkripsi
| Lapisan | Teknologi | Rincian |
|---|---|---|
| Saat transit | TLS | Seluruh komunikasi dikirim dalam keadaan terenkripsi: portal, API, widget, dan integrasi. |
| Rahasia dan kredensial | AES-256-GCM | Kata sandi email, kunci integrasi, dan kredensial yang dipercayakan pelanggan disimpan terenkripsi dengan autentikasi integritas. Kunci induk disimpan di luar repositori kode dan di luar jangkauan server web, dengan izin yang ketat dan rotasi tanpa kehilangan data. |
| Brankas pelanggan | AES-256-GCM | Kredensial portal pihak ketiga yang dipercayakan pelanggan kepada platform hanya ada dalam bentuk terenkripsi, tanpa dibaca oleh manusia dalam operasi normal, dan dihapus secara permanen atas permintaan. |
| Kata sandi pengguna | bcrypt | Hash satu arah dengan salt. Dekripsi tidak mungkin dilakukan. |
| Dokumen yang ditandatangani | SHA-256 + RFC 3161 | Setiap kontrak yang ditandatangani terikat pada sidik kriptografisnya dengan cap waktu kriptografis. |
Perimeter, cadangan data, dan kelangsungan
- Firewall di tingkat infrastruktur dan pemblokiran semua file sensitif (konfigurasi, log, cadangan, kontrol versi) oleh server web: file tersebut tidak dapat diakses dari internet.
- Penyimpanan sesi di luar direktori publik, dengan izin yang ketat.
- Cadangan harian yang diverifikasi dan dienkripsi. Setiap cadangan basis data diverifikasi sebelum disimpan (cadangan yang tidak lolos verifikasi tidak disimpan sebagai cadangan yang valid) dan dienkripsi dengan AES-256 menggunakan kunci khusus, yang berbeda dari kunci operasional dan disimpan di luar repositori maupun folder cadangan.
- Cadangan data tidak melanggar privasi Anda. Cadangan hanya digunakan untuk pemulihan, tidak pernah untuk melihat data. Informasi di Brankas terenkripsi masuk ke cadangan dalam keadaan sudah terenkripsi dengan kunci Anda: bahkan di dalam cadangan pun informasi itu tidak dapat dibaca. Rotasi berlangsung paling lama 14 hari, sehingga data yang dihapus juga hilang dari cadangan dalam jangka waktu tersebut.
- Pemantauan berkelanjutan atas indikator kesehatan platform dengan deteksi anomali.
Keterlacakan dan dokumen pembuktian
- Pencatatan operasi penting (pembuatan, perubahan, pengiriman, tanda tangan) beserta tanggal, waktu, alamat IP, dan pengguna.
- Ketika staf yang berwenang beroperasi dalam mode supervisi, platform mencatat identitas asli orang yang bertindak, bukan hanya akun tempat tindakan dilakukan.
- Dokumen pembuktian (kontrak dan bukti transaksi) dibuat di sisi server, terikat pada sidik SHA-256-nya, dan menyimpan rantai peristiwanya secara lengkap. Dapat dibuktikan bahwa file yang ditandatangani adalah dokumen yang ditampilkan.