Netsekurity: Temukan Celah Situs dari Sisi Luar, Sebelum Pengguna Menemukannya

Temukan Celah dari Sisi Luar

Situs yang sudah tayang punya satu masalah yang tidak terlihat dari dalam: permukaan publiknya bisa diperiksa siapa saja, termasuk yang niatnya buruk.

File .env yang ikut ter-deploy. Folder .git yang masih bisa diakses. Halaman /server-status atau phpinfo() yang terbuka. Header keamanan yang belum dipasang. Sertifikat yang hampir kedaluwarsa. Parameter ?redirect= yang bisa dipakai mengarahkan korban ke domain lain.

Semua ini bukan teori — semuanya bisa dicek dari luar, tanpa akses ke server, tanpa menyentuh kode.

Netsekurity melakukan pemeriksaan itu untukmu, lalu menuliskan hasilnya dalam bahasa yang bisa langsung ditindaklanjuti.

Apa yang Diperiksa

Satu pemindaian mencakup beberapa lapisan permukaan publik:

Recon dan peta permukaan serangan — resolusi DNS, enumerasi subdomain pasif, serta sidik jari teknologi dan WAF.
Header keamanan — HSTS, X-Content-Type-Options, X-Frame-Options, Content-Security-Policy, Referrer-Policy, Permissions-Policy, dan pemeriksaan clickjacking.
TLS / PKI — validitas sertifikat, masa berlaku, penerbit, dan cakupan SAN.
Kebocoran informasi — 13 probe untuk hal-hal seperti .git, .env, cadangan SQL/ZIP, wp-config backup, server-status, phpinfo, metadata SVN, jalur admin/login, dan robots.txt.
Open redirect — 9 parameter redirect umum diuji apakah bisa menghasilkan 302 ke domain eksternal.

Setiap temuan dipetakan ke kategori OWASP Top 10, diberi skor CVSS v3.1, dipetakan ke CWE, lengkap dengan bukti, langkah reproduksi, dan saran perbaikan. Agen analisis merapikan temuan, membuang duplikat, dan menyusun laporan akhir.

Laporan dikirim sebagai PDF dan bisa diunduh dari dashboard. Belum yakin isinya seperti apa? Ada contoh laporan yang bisa dibaca tanpa akun.

Yang Tidak Diperiksa — dan Kenapa Itu Penting

Bagian ini sengaja ditulis jelas, karena banyak layanan “security scan” menjual lebih dari yang benar-benar mereka lakukan.

Netsekurity adalah penilaian keamanan eksternal otomatis: blackbox, tanpa autentikasi, dan read-only. Setiap permintaan adalah GET biasa — tidak ada yang ditulis, diunggah, atau dieksploitasi. Karena itu aman dijalankan pada situs produksi.

Yang tidak termasuk dalam pemindaian standar:

Pengujian di balik login (area yang butuh sesi).
Pengujian otorisasi seperti IDOR atau eskalasi hak akses.
Pengujian payload injeksi — tidak ada SQLi, XSS, LFI/RFI, atau path traversal.
Logika bisnis, alur pembayaran, dan race condition.
Analisis kode sumber.

Artinya, kalau sebuah kelas kerentanan tidak ada di laporan, itu berarti “tidak dipindai”, bukan “terbukti aman”. Untuk pengujian yang lebih dalam, ada jalur terpisah: expert review (insinyur keamanan menguji ulang temuan) dan whitebox (review kode, pengujian terautentikasi, dan analisis logika) yang dicakup per aplikasi.

Kalau kebutuhanmu adalah pentest penuh dengan eksploitasi manual, produk ini bukan penggantinya. Kalau kebutuhannya adalah pemeriksaan rutin permukaan publik — headers, TLS, file terekspos, open redirect — inilah yang dikerjakan.

Cara Kerjanya

Tambahkan domain. Satu kredit berlaku untuk satu domain dan satu penilaian.
Verifikasi kepemilikan. Netsekurity membuat record TXT yang harus kamu pasang di DNS. Ini mencegah orang memindai domain yang bukan miliknya.
Pemindaian berjalan. Agen memeriksa permukaan publik sesuai cakupan di atas.
Laporan masuk. Hasilnya berupa PDF berbahasa Inggris dengan ringkasan eksekutif, register risiko, dan rincian temuan.

Kredit dibeli per paket, mulai dari $50 untuk satu penilaian. Daftar paket dan harga yang berlaku ada di halaman pricing.

Menjalankan dari Dashboard Dalang.io

Kalau domainmu sudah terpasang sebagai custom domain di VPS Dalang.io, kamu tidak perlu membuka tab lain:

Tombol Scan ada di kartu custom domain, di halaman detail VPS.
Riwayat pemindaian tersedia di dashboard/scans, lengkap dengan tautan ke laporan per domain.
Harga scan yang ditampilkan diambil dari backend — bukan angka yang ditulis ulang di frontend.

Karena setiap pemindaian punya laporannya sendiri, halaman riwayat berfungsi sebagai arsip per rilis: kamu bisa membandingkan kondisi situs setelah perubahan besar, bukan hanya melihat status terakhir.

Di Pipeline CI/CD

Pemeriksaan keamanan tahunan akan basi begitu kamu merge. Netsekurity menyediakan token API (masa berlaku 7, 14, 30, 60, atau 90 hari) yang bisa dipanggil dari GitHub Actions, GitLab CI, atau Jenkins.

Pola yang masuk akal:

Deploy selesai.
Pipeline memicu pemindaian untuk domain produksi.
Laporan masuk ke dashboard dan bisa dilampirkan ke catatan rilis.

Satu kredit per pemindaian, jadi biayanya bisa diprediksi dan kamu bisa memilih kapan pemindaian dijalankan — misalnya hanya pada rilis production, bukan setiap commit.

Kapan Ini Cocok, Kapan Tidak

Cocok untuk:

Pemeriksaan rutin permukaan publik situs atau aplikasi yang sudah tayang.
Pemeriksaan sebelum launch, sebagai lapisan pertama sebelum pengujian yang lebih mahal.
Bukti higiene keamanan untuk audit: header, TLS, dan data yang tidak sengaja terekspos.
Baseline yang bisa dieskalasi ke pengujian manual kalau ada temuan serius.

Tidak cocok sebagai pengganti:

Pentest penuh dengan eksploitasi manual.
Pengujian terautentikasi, otorisasi, dan logika bisnis.
Analisis kode sumber.

Mengetahui batas sebuah alat sama pentingnya dengan mengetahui kemampuannya. Laporan yang jujur tentang cakupan lebih berguna daripada klaim “aman” yang tidak bisa dipertanggungjawabkan.

Mulai dari netsekurity.com, atau lihat dulu contoh laporannya sebelum membeli kredit.