Penguatan Keamanan Komprehensif — Perlindungan Tingkat Perusahaan

Keamanan bukanlah pilihan. Kode widget berjalan di halaman yang menghadap pelanggan dengan akses ke interaksi sensitif. Pendekatan pertahanan berlapis kami melapisi beberapa perlindungan, memastikan keamanan bahkan jika satu lapisan dilewati.

Kebijakan Keamanan Konten (CSP) mencegah serangan XSS

Header CSP menentukan sumber mana yang dapat memuat skrip, gaya, gambar, font, dan sumber daya lainnya:

• JavaScript widget hanya dimuat dari CDN atau asal tepercaya Anda
• Skrip dan gaya inline dinonaktifkan kecuali di-hash atau dilindungi nonce
• eval dan konstruksi berbahaya serupa dilarang
• Panggilan API eksternal dibatasi pada domain yang disetujui
• Laporan pelanggaran dikirim ke titik pemantauan keamanan Anda secara real-time

CSP mencegah lebih dari 90% kerentanan XSS secara default.

Integritas Subresource (SRI) mendeteksi pemalsuan

Setiap aset widget (JavaScript, CSS) disajikan dengan hash kriptografis. Browser memverifikasi hash sebelum mengeksekusi kode. Jika penyerang mengkompromikan CDN Anda atau mencegat lalu lintas, hash tidak akan cocok — browser menolak untuk memuat sumber daya yang dipalsukan.

Sandboxing mengisolasi kode widget

Widget berjalan dalam ruang lingkup modul JavaScript yang terisolasi dengan akses terbatas ke halaman induk:

• Tidak membaca cookie dari domain host
• Tidak mengakses localStorage atau sessionStorage dari host
• Tidak memodifikasi DOM induk di luar kontainer widget
• Tidak mengganggu skrip atau gaya halaman induk

Bahkan jika kode widget dikompromikan, kerusakan terkontrol.

Sanitasi input dan pengkodean output

• HTML dihapus atau dikodekan (mencegah XSS melalui konten pesan)
• Karakter khusus SQL di-escape atau parameterisasi (mencegah injeksi SQL)
• Jalur file divalidasi (mencegah traversal direktori)
• Semua respons yang dihasilkan AI dioutputkan sebelum dirender

Perlindungan kriptografis

• Data dalam transit dienkripsi dengan TLS 1.3 (kerahasiaan ke depan)
• Data saat istirahat dienkripsi dengan AES-256 (percakapan, basis pengetahuan, analitik)
• Token API menggunakan JWT dengan tanda tangan RS256
• Kunci kriptografis diputar secara teratur (siklus 90 hari) dan disimpan di brankas yang aman (AWS KMS, HashiCorp Vault)

Sertifikasi kepatuhan

Arsitektur keamanan mendukung kepatuhan dengan:

• SOC 2 Tipe II — audit pihak ketiga terhadap kontrol keamanan
• ISO 27001 — manajemen keamanan informasi
• GDPR — perlindungan dan privasi data
• HIPAA — keamanan data kesehatan (jika dikonfigurasi)
• PCI DSS — jika menangani detail kartu pembayaran dalam percakapan