Di era digital, keamanan adalah hal yang sangat penting. Express.js, kerangka kerja Node.js yang populer untuk membangun aplikasi web. Tetapi fleksibilitas dan kemudahan penggunaan ini membuatnya jauh dari kebal terhadap kerentanan keamanan. Dalam artikel ini, kami akan membahas praktik terbaik dan strategi mendasar untuk melindungi aplikasi Express.js Anda.
1. Selalu Perbarui Ketergantungan
Express.js di mana fungsionalitas yang diperluas disediakan oleh paket pihak ketiga. Meskipun hal ini mempercepat pengembangan, namun hal ini dapat menimbulkan kerentanan keamanan jika dependensi rentan atau tidak terawat.
- Tip: Gunakan audit npm atau audit yarn untuk menemukan kerentanan dalam dependensi Anda. Selalu perbarui paket dan pantau saran keamanan yang diketahui.
 |
| sumber: linkedin.com |
2. Memvalidasi dan Membersihkan Masukan
Sekali lagi, ini adalah titik masuk yang umum dalam serangan keamanan seperti injeksi SQL, skrip lintas situs (XSS), dan injeksi perintah.
- Validasi Masukan: Memvalidasi jenis dan format pada semua data yang diterima dari pengguna.
- Sanitasi: Menghapus atau menetralisir konten berbahaya pada input pengguna.
Alat-alat seperti validator.js atau express-validator bagus untuk menerapkan praktik-praktik ini.
3. Mencegah Skrip Lintas Situs (XSS)
Serangan XSS melibatkan penyerang yang menyuntikkan skrip berbahaya ke dalam aplikasi Anda yang akan dieksekusi oleh pengguna lain.
- Tetapkan header HTTP yang aman - Gunakan pustaka seperti helm.
- Jika Anda menggunakan escape dalam konten yang dirender secara dinamis di aplikasi Anda.
- Masukan dari pengguna harus disterilkan untuk menghindari injeksi skrip.
Untuk kasus penggunaan dengan mesin templating seperti EJS atau Pug, Anda harus memastikan bahwa escape otomatis diaktifkan untuk menghindari risiko ini.
4. Gunakan Perlindungan Pemalsuan Permintaan Lintas Situs (CSRF)
Serangan pemalsuan permintaan lintas situs (CSRF) memanipulasi pengguna untuk mengambil tindakan dengan memaksa mereka untuk menjalankan tindakan pada aplikasi Anda tanpa persetujuan mereka.
- Menerapkan middleware perlindungan CSRF, misalnya, csurf.
- Menerapkan token CSRF yang divalidasi oleh server untuk tindakan sensitif.
5. Mengamankan Cookie
Data sesi yang sensitif dapat disimpan dalam cookie. Penanganan yang tidak tepat terhadap cookie dapat membuat aplikasi Anda rentan terhadap serangan pembajakan sesi.
- Bendera HttpOnly juga harus diatur agar JavaScript tidak dapat mengakses cookie
- Tetapkan flag Secure sehingga cookie hanya dikirim melalui HTTPS.
- Tambahkan atribut SameSite untuk mencegah serangan CSRF.
6. Gunakan HTTPS
Langkah yang paling penting, bagaimanapun, adalah mengenkripsi komunikasi antara klien dan server menggunakan HTTPS untuk mengamankan data dalam perjalanan. Dapatkan sertifikat SSL/TLS dari penyedia tepercaya, atau gunakan layanan seperti Let's Encrypt untuk sertifikat SSL gratis.
- (Lingkungan pengembangan tidak masalah tanpa ini) Alihkan semua lalu lintas HTTP ke HTTPS dalam produksi.
7. Batasi Paparan Data
Batasi data yang Anda kembalikan dari API dan respons Anda hanya yang diperlukan. Penyerang dapat menemukan data yang berguna dengan membagikan informasi secara berlebihan.
- Jangan Pernah Mencatat Jejak Penelusuran atau Kesalahan Mendetail dalam Produksi Middleware seperti penangan kesalahan ekspres sangat membantu untuk menstandarkan Respons Kesalahan.
8. Pembatasan Kecepatan dan Perlindungan DDoS
Untuk menghindari serangan brute force dan juga serangan DDoS (Distributed Denial-of-Service):
- Menerapkan middleware pembatas kecepatan seperti express-rate-limit untuk membatasi jumlah permintaan dari alamat IP yang sama
- Penggunaan Cerdas Layanan Perlindungan DDoS - Cloudflare.
9. Mengunggah File dengan Aman
Jika aplikasi Anda menyediakan fungsionalitas pengunggahan file, file berbahaya merupakan ancaman utama.
- Periksa jenis dan ukuran file.
- Menyimpan file di luar direktori publik
- Contoh ini tidak memiliki Multer atau kerangka kerja untuk mengelola unggahan file dengan aman.
10. Memantau dan Mencatat Aktivitas
Pada dasarnya lakukan pencatatan dan pemantauan yang tepat untuk mendeteksi anomali dan potensi serangan.
- Gunakan pustaka pencatatan: winston atau morgan.
- Bekerja sama dengan alat pemantauan seperti Datadog, Sentry, atau New Relic.
Pastikan log tidak mengandung informasi pengguna yang sensitif dan disimpan dengan aman.
11. Otentikasi dan Otorisasi
- Gunakan metode autentikasi yang kuat seperti OAuth2 atau JSON Web Tokens (JWT).
- Gunakan RBAC (Role-Based Access Control) atau ABAC (Attribute-Based Access Control) untuk perizinan yang lebih halus.