Keamanan

Keamanan

Praktik wajib saat produksi

• Ganti session_secret dengan nilai acak panjang.
• Ganti password admin default (admin / demo-isp123).
• Jangan pernah meng-commit settings.json, .env, database/, logs/, uploads/, auth_info_baileys/.
• Pakai HTTPS (reverse proxy seperti Nginx/Caddy) + trust_proxy bila di belakang proxy.
• Batasi akses berkas konfigurasi di server (permission & firewall).

Proteksi bawaan

• CSRF pada form mutasi.
• Rate limit pada endpoint sensitif (login, webhook, dsb.).
• Guard per peran (admin/kasir/teknisi/kolektor/pelanggan).
• Validasi input & query parameterized (anti SQLi).
• Perlindungan path traversal pada akses berkas.
• Escaping output EJS (anti XSS).

Kode aktivasi

Kode aktivasi bersifat bukan batas keamanan — hanya kontrol visibilitas menu. Simpan hanya hash (sha256) bila ingin validasi, dan atur kode teks di settings.json (tidak dipublikasikan).

Selanjutnya: Backup dan Update.