Ruang Lingkup, Prinsip, & Kerangka Acuan Keamanan

Dokumen Standar Keamanan ini mencakup aplikasi web frontend, antarmuka pemrograman aplikasi (API) backend, basis data relasional, serta alur integrasi pihak ketiga pada platform MoneFin. Kami merancang arsitektur keamanan berdasarkan tiga prinsip utama:

Hak Akses Minimum (Least Privilege): Setiap sesi pengguna, token API, dan komponen layanan hanya diberikan hak akses minimum yang diperlukan untuk menjalankan fungsinya.

Pertahanan Berlapis (Defense in Depth): Keamanan tidak bergantung pada satu lapisan tunggal, melainkan kombinasi perlindungan jaringan (TLS/HSTS), pembatasan laju permintaan (rate limiting), autentikasi token, validasi skema input, otorisasi kepemilikan data, dan transaksi database.

Aman Secara Bawaan (Secure by Default): Fitur opsional yang melibatkan pihak ketiga (seperti AI Assistant BYOK dan penyimpanan lampiran foto struk) berada dalam kondisi nonaktif secara bawaan hingga diaktifkan oleh pengguna.

Tabel di bawah ini merangkum status implementasi kontrol keamanan MoneFin saat ini (Aktif / Sebagian / Roadmap):

Kejujuran Teknis & Status Kerangka Panduan

MoneFin menggunakan OWASP Application Security Verification Standard (ASVS), NIST SP 800-63B, ISO/IEC 27002, dan ISO/IEC 29147 sebagai kerangka panduan rekayasa internal. Penyebutan standar tersebut merupakan acuan praktik terbaik yang kami ikuti, bukan klaim bahwa entitas MoneFin telah memegang sertifikasi audit pihak ketiga.

Kontrol Keamanan	Deskripsi Singkat	Standar Acuan	Status
Validasi Kepemilikan Data (Otorisasi Tingkat Baris)	Setiap permintaan baca/tulis pada rekening, transaksi, anggaran, target tabungan, dan split bill divalidasi terhadap identitas pengguna yang terautentikasi serta diuji dengan pengujian otomatis.	OWASP API Security Top 10 (API1:2023 BOLA) & OWASP ASVS v4.0	Aktif
Hashing Kata Sandi & Kebijakan Kredensial	Kata sandi minimal 8 karakter tanpa aturan komposisi paksa yang memperlemah entropi, di-hash satu arah menggunakan algoritma Bcrypt dengan salt unik per pengguna.	NIST SP 800-63B & OWASP ASVS V2	Aktif
Token Sesi Kriptografis & Manajemen Sesi Perangkat	Token sesi berawalan 'mnf_' di-hash menggunakan SHA-256 di database. Pengguna dapat melihat daftar perangkat beserta alamat IP aktif dan mencabut sesi dari jarak jauh.	OWASP ASVS V3 (Session Management)	Aktif
Enkripsi Kunci API BYOK (At-Rest)	Kunci API penyedia AI milik pengguna dienkripsi sebelum disimpan ke database menggunakan AES-256-CBC (OpenSSL dengan autentikasi MAC) dan didekripsi hanya di memori saat pemanggilan.	ISO/IEC 27002 (Cryptography) & OWASP ASVS V6	Aktif
Enkripsi Jalur Komunikasi (In-Transit)	Seluruh lalu lintas klien-ke-server menggunakan HTTPS (TLS 1.2+, dengan TLS 1.3 diprioritaskan) dan diperkuat header Strict-Transport-Security (HSTS).	RFC 8446 (TLS 1.3) & OWASP Transport Layer Protection	Aktif
Integritas Buku Kas (Transaksi ACID & Row Locking)	Mutasi saldo dibungkus dalam transaksi database ACID dengan penguncian baris pesimistis (SELECT ... FOR UPDATE) untuk mencegah anomali kondisi pacu (race condition).	ISO/IEC 27002 & Prinsip ACID Database	Aktif
Autentikasi Dua Faktor (2FA / MFA)	2FA berbasis kode OTP 6 digit (CSPRNG random_int) melalui email telah tersedia. Dukungan aplikasi autentikator TOTP dan Passkeys/WebAuthn sedang dalam tahap pengembangan.	NIST SP 800-63B	Sebagian (Email OTP Aktif / TOTP Roadmap)
Audit Keamanan Pihak Ketiga Independen (Pentest Eksternal)	Saat ini pengujian dilakukan melalui pengujian otomatis internal, peninjauan kode, dan program pengungkapan kerentanan publik. Pengujian penetrasi pihak ketiga independen direncanakan pada fase berikutnya.	ISO/IEC 27001 & ISO/IEC 29147	Roadmap

Tata Kelola Keamanan Informasi

Pengelolaan keamanan informasi di MoneFin dikoordinasikan oleh Tim Tata Kelola, Keamanan & Privasi MoneFin yang bertanggung jawab menetapkan kebijakan kontrol akses, meninjau perubahan arsitektur, memelihara registri fakta kepatuhan internal, serta menangani laporan insiden maupun kerentanan.

Setiap perubahan kode produksi wajib melewati pemeriksaan ketergantungan paket (dependency check), verifikasi kompilasi statis, serta pengujian otomatis sebelum diterapkan. Dokumen keamanan dan kebijakan privasi ditinjau ulang secara berkala minimal setiap 6 (enam) bulan atau setiap kali terdapat penambahan fitur dan integrasi vendor baru.

Otorisasi & Isolasi Data Antar-Pengguna

Pada aplikasi keuangan multi-pengguna, risiko Broken Object Level Authorization (BOLA / IDOR) merupakan ancaman utama yang harus dicegah secara sistematis. MoneFin merancang setiap operasi pembacaan, pembuatan, pembaruan, dan penghapusan data agar selalu terikat pada identitas pengguna yang sedang terautentikasi.

Setiap permintaan yang menyertakan pengenal sumber daya (seperti rekening/dompet, kategori, transaksi, anggaran, target tabungan, maupun tagihan split bill) diperiksa kepemilikannya pada tingkat kueri basis data dan lapisan aturan validasi sebelum dieksekusi. Selain itu, kami memelihara rangkaian pengujian otomatis (automated authorization & isolation tests) di lingkungan pengujian internal untuk memverifikasi bahwa upaya mengakses atau memanipulasi data milik pengguna lain ditolak oleh sistem.

Autentikasi, Kebijakan Kata Sandi, & Manajemen Sesi

Mengacu pada panduan identitas digital NIST SP 800-63B, MoneFin menerapkan kontrol autentikasi dan manajemen sesi berikut:

Kebijakan Kata Sandi: Mewajibkan panjang minimal 8 karakter tanpa memaksakan aturan komposisi karakter artifisial yang justru mendorong pola kata sandi mudah ditebak, serta tanpa pemaksaan pergantian kata sandi berkala kecuali terdapat indikasi kompromi kredensial.

Kode Verifikasi OTP Berbasis CSPRNG: Kode One-Time Password (6 digit) untuk verifikasi email, 2FA, dan pemulihan kata sandi dibangkitkan menggunakan generator angka acak kriptografis (CSPRNG random_int()) dengan masa berlaku pendek (5 menit) dan perlindungan penalti percobaan berulang.

Pencegahan Enumerasi Email: Alur lupa kata sandi dan pengiriman ulang OTP dirancang memberikan respons yang seragam sehingga pihak luar tidak dapat memetakan daftar alamat email yang terdaftar di sistem.

Autentikasi Dua Faktor (2FA): Saat ini MoneFin menyediakan fitur 2FA berbasis OTP Email yang dapat diaktifkan pengguna di Pengaturan Keamanan. Dukungan aplikasi autentikator berbasis TOTP (RFC 6238) dan Passkeys/WebAuthn berada dalam peta jalan pengembangan (Roadmap).

Manajemen Sesi Perangkat & Re-Autentikasi: Pengguna dapat melihat daftar perangkat yang sedang aktif (termasuk jenis peramban, waktu aktif terakhir, dan alamat IP perangkat) serta mencabut sesi pada perangkat lain dari jarak jauh. Untuk tindakan berisiko tinggi seperti penghapusan akun permanen, sistem mewajibkan konfirmasi ulang kata sandi (re-autentikasi).

Kriptografi: Saat Transit, Saat Tersimpan, & Pengelolaan Kunci

Kami menerapkan algoritma kriptografi standar industri yang terverifikasi pada kode produksi kami:

Perlindungan Saat Transit (In-Transit): Seluruh komunikasi antara peramban/aplikasi pengguna dan server MoneFin dienkripsi menggunakan protokol HTTPS (TLS 1.2 minimum, dengan TLS 1.3 diprioritaskan pada negosiasi koneksi) serta kebijakan Strict-Transport-Security (HSTS). Panggilan keluar (outbound) dari server backend ke API penyedia AI menerapkan verifikasi sertifikat SSL/TLS secara ketat.

Hashing Kata Sandi & Token Sesi: Kata sandi pengguna di-hash secara satu arah menggunakan algoritma Bcrypt dengan salt kriptografis unik per pengguna. Token akses sesi berawalan 'mnf_' disimpan di basis data dalam bentuk hash satu arah SHA-256; nilai token asli hanya dikirimkan satu kali saat sesi dibuat.

Enkripsi Kunci API BYOK (At-Rest): Kunci API penyedia AI yang dimasukkan pengguna dienkripsi pada lapisan aplikasi menggunakan algoritma simetris AES-256-CBC (melalui modul OpenSSL dengan kode autentikasi pesan / MAC) sebelum disimpan ke basis data. Kunci enkripsi aplikasi disimpan secara terpisah pada variabel lingkungan server yang terbatas aksesnya.

Enkripsi Penyimpanan Infrastruktur: Enkripsi pada tingkat media penyimpanan fisik (disk/volume) dan cadangan (backup) dikelola oleh penyedia infrastruktur pusat data/cloud kami.

Keamanan Aplikasi, API, & HTTP Security Headers

Untuk memitigasi risiko pada OWASP Top 10 dan OWASP API Security Top 10, MoneFin menerapkan kontrol keamanan aplikasi dan API berikut:

Validasi Skema Input & Kueri Berparameter: Seluruh input pengguna divalidasi tipe data, panjang, dan formatnya di sisi server. Interaksi basis data menggunakan kueri berparameter (prepared statements) untuk mencegah injeksi SQL.

Pembatasan Laju Permintaan (Rate Limiting): Endpoint sensitif dilindungi oleh pembatasan frekuensi permintaan berbasis IP dan identitas pengguna (misalnya batas ketat pada percobaan login, pengiriman OTP, pemindaian struk AI, dan percakapan AI).

Perlindungan SSRF pada Endpoint AI Kustom: Ketika pengguna mengonfigurasi URL endpoint AI kustom (BYOK), sistem memvalidasi skema HTTPS dan memblokir alamat IP privat/loopback/metadata internal guna mencegah serangan Server-Side Request Forgery (SSRF).

HTTP Security Headers (Sesuai Rekomendasi OWASP Secure Headers Project): Kami tidak lagi mengklaim atau mengandalkan header usang X-XSS-Protection, melainkan menerapkan kebijakan Content-Security-Policy dan header keamanan modern yang nilainya identik antara dokumentasi ini dan konfigurasi server sebagaimana tertera pada tabel di bawah ini:

HTTP Header	Nilai Kebijakan	Cakupan Penerapan	Tujuan Proteksi
Content-Security-Policy	default-src 'none'; frame-ancestors 'none'	Respons API JSON (dikecualikan pada endpoint streaming SSE AI agar aliran data tidak terputus)	Membatasi eksekusi sumber daya dan mencegah penyematan frame lintas-origin
Strict-Transport-Security	max-age=31536000; includeSubDomains; preload	Seluruh respons Web Frontend & API Backend	Mewajibkan peramban berkomunikasi hanya melalui HTTPS selama 1 tahun (31.536.000 detik)
X-Content-Type-Options	nosniff	Seluruh respons Web Frontend & API Backend	Mencegah peramban menebak (MIME-sniffing) tipe konten di luar Content-Type resmi
X-Frame-Options	DENY	Seluruh respons Web Frontend & API Backend	Melengkapi direktif frame-ancestors untuk mencegah serangan Clickjacking
Referrer-Policy	strict-origin-when-cross-origin	Seluruh respons Web Frontend & API Backend	Mencegah kebocoran path dan parameter URL internal saat menuju situs eksternal
Permissions-Policy	camera=(self), microphone=(), geolocation=()	Web Frontend (API Backend menutup seluruh akses: camera=(), microphone=(), geolocation=())	Mematikan akses mikrofon & lokasi, serta membatasi kamera hanya untuk fitur Scan Struk atas izin pengguna

Integritas Data Finansial: Transaksi ACID & Penguncian Baris

Akurasi pencatatan saldo merupakan aspek krusial dalam aplikasi manajemen keuangan. Eksekusi permintaan secara bersamaan (concurrent requests) tanpa pengendalian konkurensi dapat memicu selisih perhitungan saldo (race condition).

Di MoneFin, setiap operasi yang memengaruhi saldo rekening—baik pencatatan pemasukan/pengeluaran baru, pembaruan atau penghapusan transaksi, konfirmasi struk belanja, maupun setoran/penarikan target tabungan—dieksekusi di dalam transaksi basis data yang mematuhi prinsip ACID (Atomicity, Consistency, Isolation, Durability).

Sebelum memperbarui nilai saldo pada suatu rekening, sistem menerapkan penguncian baris pesimistis (pessimistic row-level locking melalui klausa SELECT ... FOR UPDATE) pada baris rekening terkait hingga transaksi selesai di-commit. Jika salah satu langkah di dalam transaksi gagal, seluruh perubahan dibatalkan secara utuh (rollback) sehingga saldo tetap konsisten.

Infrastruktur, Pencatatan Log, & Pencadangan (Backup)

Infrastruktur Hosting & Klarifikasi Sertifikasi: Aplikasi web frontend di-hosting pada jaringan edge Vercel Inc., sedangkan API backend dan basis data dijalankan pada infrastruktur server cloud yang terisolasi. Sertifikasi keamanan pusat data seperti ISO/IEC 27001 dan SOC 2 merupakan sertifikasi milik penyedia layanan infrastruktur cloud pihak ketiga tersebut, bukan sertifikasi yang dimiliki oleh entitas MoneFin.

Pencatatan Log Keamanan: Sistem mencatat peristiwa keamanan penting (seperti kegagalan autentikasi berulang, pembuatan/pencabutan sesi, dan error sistem) tanpa mencatat kata sandi teks biasa atau kunci API mentah. Log keamanan disimpan maksimal selama 30 hari kalender.

Kebijakan Pencadangan (Backup) & Pemulihan: Basis data dicadangkan secara berkala setiap hari (daily automated backup) ke penyimpanan terpisah yang terlindungi. Arsip cadangan disimpan dengan masa retensi maksimal 30 hari kalender dan diuji prosedur pemulihannya (restore test) secara berkala untuk mendukung kelangsungan layanan.

Keamanan Vendor & Sub-Prosesor

Kami membatasi penggunaan vendor pihak ketiga hanya pada fungsi infrastruktur dan integrasi yang esensial. Sebelum mengintegrasikan layanan pihak ketiga, kami mengevaluasi reputasi keamanan, dukungan enkripsi transport (HTTPS/TLS), serta cakupan data minimum yang dikirimkan.

Daftar lengkap pemroses dan sub-prosesor pihak ketiga yang digunakan oleh MoneFin (konsisten dengan Kebijakan Privasi bagian 05) disajikan pada tabel berikut:

Pemroses / Sub-Prosesor	Peran & Tujuan	Lokasi Pemrosesan	Jaminan Pelindungan
Vercel Inc.	Hosting aplikasi web frontend (Next.js) & jaringan pengiriman konten (Edge CDN)	Global / Singapura & Amerika Serikat	Enkripsi TLS in-transit, sertifikasi infrastruktur ISO/IEC 27001 & SOC 2 Type II milik penyedia cloud
Penyedia Infrastruktur Cloud & Database (SkipperHost / Infrastruktur Server Backend)	Hosting API backend Laravel, basis data relasional MySQL, dan penyimpanan berkas terenkripsi	Indonesia / Singapura	Isolasi jaringan, kontrol akses ketat, enkripsi jalur TLS, dan cadangan berkala
Layanan Pengiriman Email Transaksional (SMTP Resmi)	Pengiriman kode verifikasi One-Time Password (OTP) registrasi, 2FA, dan pemulihan kata sandi	Global / Amerika Serikat & Uni Eropa	Koneksi SMTP terenkripsi TLS; hanya menerima alamat email tujuan dan kode OTP sementara
Google LLC (Google OAuth 2.0 — Opsional)	Penyedia autentikasi masuk tunggal (Single Sign-On) apabila pengguna memilih tombol 'Masuk dengan Google'	Global / Amerika Serikat	Protokol standar OAuth 2.0 / OpenID Connect dengan verifikasi token kriptografis
Penyedia Model AI Pilihan Pengguna (BYOK: Google Gemini, Groq, OpenAI, Anthropic, OpenRouter — Opsional)	Memproses prompt chat keuangan dan ekstraksi gambar struk belanja hanya saat fitur AI diaktifkan oleh pengguna	Global (sesuai penyedia API yang dipilih pengguna)	Koneksi HTTPS dengan verifikasi sertifikat SSL (verify=true) menggunakan kunci API milik pengguna sendiri

Respons Insiden & Komitmen Notifikasi (3×24 Jam)

MoneFin memelihara prosedur penanganan insiden keamanan yang mencakup empat tahapan: (1) Deteksi & Triase Awal, (2) Isolasi & Pembatasan Dampak (Containment), (3) Pembersihan & Pemulihan Layanan (Eradication & Recovery), serta (4) Evaluasi Pasca-Insiden (Post-Mortem).

Komitmen Notifikasi Sesuai Pasal 46 UU PDP No. 27/2022: Apabila terjadi insiden keamanan yang mengakibatkan kegagalan pelindungan data pribadi pengguna, kami berkomitmen mengirimkan pemberitahuan tertulis paling lambat 3×24 jam (72 jam) sejak insiden terverifikasi kepada pengguna yang terdampak dan kepada otoritas pelindungan data pribadi yang berwenang. Pemberitahuan tersebut memuat sekurang-kurangnya: kategori data yang terdampak, waktu dan kronologi kejadian, langkah penanganan yang telah diambil, serta kontak tim tanggap insiden (security@monefin.web.id).

Pengungkapan Kerentanan Terkoordinasi (ISO/IEC 29147 & RFC 9116)

Mengacu pada standar ISO/IEC 29147 (Vulnerability Disclosure) dan RFC 9116, MoneFin menyediakan jalur pelaporan kerentanan keamanan terkoordinasi dengan ketentuan berikut:

Saluran Pelaporan & Waktu Respons (SLA): Kirimkan laporan lengkap (langkah reproduksi, endpoint terkait, dan dampak potensial) ke security@monefin.web.id. Kami berkomitmen mengirimkan konfirmasi penerimaan awal (acknowledgment) dalam waktu maksimal 3 (tiga) hari kerja dan hasil triase teknis dalam maksimal 7 (tujuh) hari kerja.

Ruang Lingkup (In-Scope): Aplikasi web utama (https://www.monefin.web.id), aplikasi Android resmi MoneFin, serta endpoint API produksi MoneFin. (Out-of-Scope: serangan rekayasa sosial/phishing terhadap staf atau pengguna, serangan Denial of Service / DDoS / spam otomatis, serta kerentanan pada situs pihak ketiga di luar kendali kami).

Aturan Pengujian & Larangan Tegas: Peneliti wajib menggunakan akun pengujian milik sendiri, dilarang keras mengakses, membaca, memodifikasi, atau menghapus data milik pengguna lain, dilarang menurunkan ketersediaan layanan, dan wajib menjaga kerahasiaan temuan hingga perbaikan selesai diterapkan.

Jaminan Perlindungan Hukum (Safe Harbor): Selaras dengan Syarat & Ketentuan Bagian 06, MoneFin tidak akan mengajukan tuntutan hukum perdata maupun laporan pidana, serta tidak akan memblokir secara permanen akun pengujian milik peneliti yang melakukan pengujian secara beriktikad baik dan mematuhi aturan pada bagian ini.

Safe Harbor & Berkas /.well-known/security.txt Aktif

Kami mengundang peneliti keamanan untuk melaporkan celah keamanan secara bertanggung jawab ke security@monefin.web.id. Kebijakan mesin-terbaca (RFC 9116) tersedia di https://www.monefin.web.id/.well-known/security.txt.

Berkas Standar RFC 9116 (security.txt):

/.well-known/security.txt

Batasan Sistem, Tanggung Jawab Bersama, & Riwayat Perubahan

Tidak ada sistem perangkat lunak yang dapat mengklaim kekebalan mutlak terhadap seluruh risiko siber. Keamanan data keuangan Anda di MoneFin merupakan hasil kerja sama antara kontrol teknis yang kami terapkan di sisi server dan praktik keamanan yang Anda jalankan di sisi perangkat:

Pastikan perangkat telepon pintar dan komputer Anda menggunakan sistem operasi serta peramban yang diperbarui dan terlindungi kunci layar.

Gunakan kata sandi yang unik untuk akun MoneFin (jangan gunakan ulang kata sandi dari layanan lain yang pernah mengalami kebocoran).

Aktifkan fitur Autentikasi Dua Faktor (2FA) di menu Pengaturan Keamanan dan periksa daftar sesi perangkat aktif secara berkala.

Simpan kunci API BYOK Anda dengan aman dan gunakan kunci dengan batas kuota pengeluaran pada penyedia AI Anda.

Riwayat Perubahan Dokumen (Changelog Publik)

Penomoran versi menggunakan Semantic Versioning (MAJOR.MINOR.PATCH)

v3.0.0Mayor (Perubahan Hak, Struktur & Kepatuhan)

29 September 2026

Menyelaraskan ketiga dokumen dengan Pedoman Kepatuhan UU PDP No. 27/2022, UU Perlindungan Konsumen No. 8/1999, NIST SP 800-63B, ISO/IEC 27002/27701/29147, dan OWASP ASVS.
Menaikkan batas usia minimum kelayakan pengguna menjadi 18 tahun (atau di bawah 18 tahun dengan persetujuan orang tua/wali sah sesuai Pasal 25 UU PDP).
Menambahkan pengecualian tegas (Safe Harbor) pada Syarat & Ketentuan bagi peneliti keamanan yang melapor sesuai kebijakan Pengungkapan Kerentanan Terkoordinasi dan menerbitkan /.well-known/security.txt (RFC 9116).
Memisahkan penjelasan penyimpanan data AI antara MoneFin (0 hari untuk riwayat chat di database) dan penyedia AI pihak ketiga (BYOK), serta memperjelas pencatatan alamat IP utuh pada fitur Manajemen Sesi.
Menghapus klaim absolut/superlatif, menghapus header usang X-XSS-Protection, menstandarkan penyebutan algoritma Bcrypt/SHA-256/AES-256-CBC, dan memisahkan kontak resmi (security@, privacy@, legal@, support@monefin.web.id).
Menambahkan Tabel Kategori & Retensi Data, Tabel Sub-Prosesor, Tabel Cookie & Penyimpanan Lokal, Tabel Kontrol Keamanan, serta hak pengaduan ke otoritas PDP.

v2.4.0Minor (Penambahan Fitur)

5 September 2026

Pembaruan ketentuan penggunaan fitur AI Scan Struk Belanja (1–8 foto) dengan arsitektur Bring Your Own Key (BYOK) dan fitur Smart Split Bill.
Penambahan informasi manajemen sesi multi-perangkat dan re-autentikasi kata sandi untuk penghapusan akun.

v2.0.0Mayor

15 Juli 2026

Peluncuran MoneFin Trust Center dalam dua bahasa (Bahasa Indonesia & Bahasa Inggris) beserta modul gamifikasi non-moneter.

Dokumen Kepatuhan Terkait Lainnya

Syarat & Ketentuan

Perjanjian penggunaan layanan pencatatan keuangan, batas usia 18+, pengecualian peneliti keamanan (Safe Harbor), dan penyelesaian sengketa.

Kebijakan Privasi

Pemberitahuan pemrosesan data pribadi berlandaskan UU PDP No. 27/2022, daftar sub-prosesor, masa retensi, dan hak Subjek Data.

Apakah dokumen ini mudah dipahami?

Kami menyusun dokumen ini dengan kalimat yang lugas, terukur, dan tanpa klaim berlebihan.

Standar Keamanan & Arsitektur Pelindungan

Poin Kunci Transparansi (Ringkasan 30 Detik)