Keamanan Akun dan Server Panel: Cara Mengamankan Password, Token, dan Akses

Server yang kamu sewa menyimpan hal-hal berharga: token bot, password database, data pengguna, dan akses ke akun-akunmu di layanan lain. Kebanyakan akun diretas bukan karena sistem panel lemah, tapi karena password bocor, token terbagi ke orang lain, atau script tidak jelas asalnya. Kabar baiknya, hampir semuanya bisa dicegah dengan kebiasaan sederhana.

1. Amankan akun panel

Pakai password yang kuat dan unik

• Panjang minimal 12 karakter, campuran huruf, angka, dan simbol.
• Jangan memakai password yang sama dengan akun lain (email, media sosial, game).
• Ganti password awal dari email setelah login pertama. Langkahnya ada di Login ke panel dan ganti password.

Aktifkan verifikasi dua langkah (2FA)

2FA membuat orang yang tahu passwordmu tetap tidak bisa login tanpa kode dari HP-mu. Ini perlindungan terbaik untuk akunmu.

1. Login ke panel, lalu ketuk ikon akun di pojok atas.
2. Cari bagian Two-Step Authentication (autentikasi dua langkah) dan mulai pengaturan.
3. Pindai kode QR dengan aplikasi autentikator di HP, misalnya Google Authenticator atau Authy.
4. Masukkan kode 6 digit dari aplikasi untuk mengaktifkannya.
5. Panel menampilkan kode pemulihan (recovery tokens). Simpan di tempat aman di luar HP yang sama, misalnya dicatat di buku atau password manager. Kode ini satu-satunya jalan masuk kalau HP-mu hilang.

Setelah aktif, login butuh password lalu kode 6 digit.

Waspadai API key dan SSH key

Di halaman akun ada bagian API Key dan SSH Key. Keduanya adalah "kunci masuk" tambahan ke akunmu.

• Jangan membuatnya kalau tidak benar-benar perlu.
• API key punya kuasa yang sama dengan akunmu, dan hanya tampil sekali saat dibuat.
• Hapus key yang tidak kamu kenal atau sudah tidak dipakai.
• Jangan pernah mengunggah API key ke GitHub atau membagikannya.

2. Batasi akses orang lain

• Jangan membagikan password panel. Pakai sub user dengan izin seminimal mungkin dan hapus setelah pekerjaan selesai.
• Jangan membagikan ID transaksi dan email pembelian. Keduanya dipakai untuk perpanjangan dan klaim garansi.
• Cek tab Activity secara berkala untuk melihat siapa melakukan apa.
• Jangan beri izin Reinstall, User, atau Database (lihat password) ke orang yang tidak benar-benar butuh.

3. Simpan rahasia dengan benar

Rahasia artinya token bot, password database, kunci API layanan lain, dan sejenisnya.

• Simpan di file .env, bukan langsung di kode.
• Jangan unggah .env ke GitHub. Tambahkan .env ke file .gitignore projectmu.
• Jangan screenshot atau kirim ke grup tanpa disensor. Token yang terlihat di screenshot sama bahayanya dengan token yang dibagikan.
• Ganti token atau password segera kalau pernah bocor. Token bot Discord, misalnya, bisa diganti dengan Reset Token di Developer Portal. Password database bisa diganti lewat rotate password.
• Untuk website Next.js, jangan menaruh rahasia di variabel yang berawalan NEXT_PUBLIC_. Isinya ikut tertanam ke halaman dan bisa dilihat siapa saja.

4. Hati-hati dengan script dari sumber tidak dikenal

Banyak bot WhatsApp atau Discord dibagikan gratis di grup dan situs acak. Script seperti itu berjalan di servermu dengan akses ke semua file di dalamnya, termasuk token. Script yang buruk bisa mengirim token atau sesi login ke pihak lain.

• Unduh dari sumber resmi atau pembuat yang terpercaya.
• Hindari script yang kodenya diacak sehingga tidak bisa dibaca.
• Lihat sekilas isi package.json dan file utamanya. Waspada kalau ada alamat server atau webhook asing.
• Jangan menjalankan script yang diminta "tolong isi token di sini" dari orang yang tidak kamu kenal.
• Simpan backup sebelum memasang script baru.

5. Siapkan jaring pengaman

• Buat backup secara berkala dan unduh ke perangkatmu.
• Gunakan Schedules untuk backup otomatis.
• Pada server yang memakai opsi Enable Console Commands (misalnya egg Next.js), biarkan opsinya 0 kalau ada orang lain yang punya akses Console.

Kalau akunmu dicurigai bocor

Segera lakukan berurutan:

1. Ganti password panel.
2. Aktifkan 2FA kalau belum.
3. Di halaman akun, hapus API key dan SSH key yang tidak dikenal.
4. Di tab Users, hapus sub user yang tidak kamu kenal.
5. Ganti token bot dan password database.
6. Buka tab Activity dan catat tindakan yang mencurigakan.
7. Buat backup dari keadaan sekarang, lalu hubungi kami dengan ID transaksi dan tangkapan layar Activity.

Daftar cek singkat

• Password panel kuat dan berbeda dari akun lain.
• 2FA aktif dan kode pemulihan tersimpan.
• Tidak ada sub user yang sudah tidak diperlukan.
• Token dan password disimpan di .env, bukan di kode.
• Script bot berasal dari sumber yang jelas.
• Backup terbaru sudah diunduh.
• Activity dicek secara berkala.