Keamanan

KiZE Halo menerapkan perlindungan berlapis untuk menjaga kredensial sesi WhatsApp yang tidak pernah keluar dari worker, serta data ruang kerja yang tidak pernah melintasi batas ruang kerja.

Isolasi ruang kerja

Resource milik pelanggan dibatasi ke ruang kerja aktif. API memeriksa keanggotaan dan kepemilikan sebelum memberikan akses.

Autentikasi & sesi

Kata sandi di-hash dengan bcrypt. Sesi memakai token acak opaque yang disimpan sebagai hash SHA-256 dengan masa berlaku di server, lalu dikirim melalui cookie HttpOnly SameSite.

Otorisasi

RBAC berbasis kemampuan (owner / admin / member) diperiksa ulang di server pada setiap request. Status UI tidak pernah dipercaya.

API key

Bearer key dengan scope ditampilkan sekali saat dibuat dan hanya disimpan sebagai hash SHA-256. Pencabutan berlaku seketika.

Webhook

Pengiriman ditandatangani dengan HMAC-SHA256 atas payload bertanda waktu. Penerima perlu memeriksa signature, umur timestamp, dan event ID untuk menolak replay. Secret dapat dirotasi.

Transport

Deployment produksi perlu menggunakan HTTPS di edge dan membatasi akses layanan internal ke jaringan privat.

Rate limit

API menerapkan pembatasan laju request. Pengiriman pesan juga diperiksa terhadap kuota paket ruang kerja.

Jejak audit

Aktivitas autentikasi, perubahan izin, dan tindakan pengelolaan dicatat untuk ditinjau administrator.

Melaporkan kerentanan

Email [email protected] dengan langkah reproduksi dan dampak yang ditemukan. Jangan sertakan kredensial atau data pelanggan.