Vibe Guardian, alat untuk memeriksa status keamanan dasar situs web hanya dengan satu URL
(vibe-guardian.com)Belakangan ini vibe coding sedang populer, dan di tengah alur kerja membuat lalu merilis sesuatu dengan cepat,
saya merasa pengaturan keamanan dasar sering kali terdorong ke belakang.
Kalau melihat berbagai insiden besar maupun kecil yang benar-benar terjadi,
ternyata banyak kasus yang jauh lebih sederhana daripada peretasan yang rumit.
- API key yang terekspos, pengaturan CORS, file
.envyang terbuka untuk publik, paparan log penting, dan sebagainya
(kasus seperti ini sering terjadi karena pengaturan dasar yang terlewat)
Karena itu, saya mencoba membuat alat yang memungkinkan Anda cukup memasukkan satu URL
untuk dengan cepat memeriksa status keamanan dasar sebuah situs web,
dan mengecek bagian-bagian yang berpotensi menjadi masalah.
Ini bukan layanan yang memberikan keamanan sempurna,
namun setidaknya berfokus agar insiden seperti kelalaian pengaturan dasar
atau kebocoran key tidak sampai terjadi.
Kalau pengaturan keamanan dasar sudah dirapikan sekali,
itu juga bisa dipakai di proyek lain,
jadi mungkin ada baiknya melakukan pengecekan setidaknya sekali setelah deploy.
[Situs web]
Tambahan, mungkin ini tidak akan terjadi di sini karena banyak developer, tetapi saat melihat layanan yang dibuat dengan vibe coding, saya kadang menemukan kasus AI API dipanggil langsung dari frontend.
Karena key .env terkesan seperti sesuatu yang rahasia, sepertinya orang non-developer kadang salah paham soal ini.
Sedikit cerita lain, saya pernah membuat proxy server di AWS lalu berpikir, "Ini kan cuma IP biasa yang bahkan tidak dipublikasikan, mana mungkin ada yang tahu?" dan membiarkannya terbuka tanpa autentikasi/keamanan tambahan. Besoknya saya langsung menerima email dari AWS karena ada tanda-tanda aneh. Dalam sehari trafiknya melonjak besar sekali,,, untungnya pihak AWS berbaik hati dan memakluminya T_T
Dari situ saya benar-benar merasakan bahwa pendeteksian dan akses terjadi jauh lebih cepat daripada yang dibayangkan.
5 komentar
Berdasarkan hasil pengujian pada kode proyek saya dan tautan yang sama persis dengan situs aslinya berbasis Claude Code Opus4.7, sebagian besar hasil pada situs tersebut tampaknya adalah false positive..
Layanannya bagus!
Hanya saja yang mengkhawatirkan adalah sebaiknya ada jaminan bahwa setelah memasukkan URL untuk memeriksa masalah keamanan, riwayatnya tidak disimpan. Akan lebih baik jika setidaknya ada kalimat yang menyatakan bahwa mereka tidak menyimpan catatan tentang situs saya dan masalah keamanannya.
Terima kasih :) Sepertinya Anda khawatir tentang kemungkinan serangan, jadi kami juga akan mempertimbangkan bagian tersebut dengan baik~!
Terima kasih~! Ternyata ada layanan seperti ini ya hehe. Sepertinya saya harus mendaftarkannya!