Keamanan & Pelaporan Celah

Keamanan akun, transaksi, dan karya digital Anda adalah prioritas Kami. Halaman ini menjelaskan langkah perlindungan yang Kami terapkan di brickwavestudio.id, hal yang dapat Anda lakukan untuk menjaga Akun, serta cara melaporkan celah keamanan kepada Kami.

Prinsip Kami sederhana: setiap data hanya dapat diakses oleh pihak yang memang berhak, setiap tindakan sensitif diverifikasi ulang, dan setiap perubahan penting tercatat.

• Seluruh koneksi ke Situs dienkripsi dengan HTTPS, dan peramban diinstruksikan untuk tidak pernah membuka Situs melalui koneksi tanpa enkripsi.
• Situs dan data dijalankan di atas penyedia infrastruktur cloud bereputasi dengan enkripsi data saat disimpan maupun saat dikirim.
• Email resmi dikirim dari domain terverifikasi dengan autentikasi pengirim untuk menekan risiko pemalsuan email.
• Kunci rahasia layanan disimpan terenkripsi di server dan tidak pernah dikirim ke peramban.

• Kebijakan keamanan konten membatasi skrip yang boleh berjalan di halaman untuk mencegah serangan cross-site scripting (XSS) dan clickjacking.
• Validasi di server: harga, kupon, dan hak akses selalu dihitung ulang di server. Nilai yang dikirim peramban tidak pernah dipercaya begitu saja.
• Pembatasan akses di tingkat basis data memastikan setiap pengguna hanya dapat membaca pesanan, lisensi, dan profilnya sendiri, sebagai lapisan perlindungan tambahan di luar aplikasi.
• Pembatasan frekuensi pada formulir dan proses sensitif untuk menahan spam dan percobaan penyalahgunaan.
• Peninjauan kode secara berkala, termasuk pemindaian otomatis untuk mendeteksi pola kerentanan umum sejak dini.

• Pendaftaran dengan email wajib diverifikasi menggunakan kode OTP 6 digit yang dikirim ke email Anda.
• Password disimpan dalam bentuk hash satu arah. Kami tidak dapat melihat password Anda.
• Anda dapat mengaktifkan verifikasi dua langkah (2FA) berbasis aplikasi autentikator di halaman Keamanan akun.
• Akun yang terindikasi disalahgunakan dapat dibatasi sementara sehingga tidak dapat bertransaksi atau mengunduh Aset selama pemeriksaan.

• Pembayaran diproses oleh Midtrans, gerbang pembayaran berizin di Indonesia yang tersertifikasi PCI-DSS. Data kartu dan kredensial perbankan Anda dimasukkan langsung di halaman Midtrans dan tidak pernah melewati atau tersimpan di server Kami.
• Status pembayaran hanya diterima dari notifikasi server-ke-server yang tanda tangannya terverifikasi, lalu dicocokkan kembali dengan nominal Pesanan. Pembayaran dengan nominal tidak sesuai otomatis ditahan untuk ditinjau.
• Setiap notifikasi diproses secara idempoten, sehingga notifikasi ganda tidak menghasilkan Lisensi ganda.

• File Aset disimpan di penyimpanan privat dan tidak dapat diakses melalui tautan publik.
• Tautan unduhan dibuat khusus untuk pemilik Lisensi dan hanya berlaku dalam waktu singkat.
• Jumlah unduhan per Akun dibatasi untuk mencegah pembagian massal.
• Setiap item Pesanan memiliki kunci lisensi unik yang dapat ditelusuri.

Akses staf ke sistem internal dibatasi secara ketat:

• Sistem internal terpisah dari Situs publik, tidak menyediakan pendaftaran, dan hanya dapat dimasuki melalui undangan.
• Setiap staf wajib menggunakan verifikasi dua langkah.
• Hak akses diberikan per peran dengan prinsip hak minimum, dan ditegakkan di beberapa lapisan sistem.
• Tindakan sensitif mewajibkan verifikasi ulang, dan sebagian memerlukan persetujuan dua orang staf yang berbeda.
• Sesi staf berakhir otomatis setelah tidak aktif atau setelah batas waktu tertentu.
• Perubahan data penting dan percobaan akses yang ditolak tercatat dalam log audit.

• Gunakan password unik yang tidak dipakai di layanan lain, dan aktifkan verifikasi dua langkah.
• Tim Brickwave Studio tidak pernah meminta password, kode OTP, atau kode 2FA Anda melalui email, WhatsApp, Discord, maupun Roblox.
• Pastikan alamat di peramban adalah brickwavestudio.id sebelum memasukkan data apa pun.
• Email resmi Kami hanya berasal dari domain @brickwavestudio.id.
• Keluar dari Akun setelah menggunakan perangkat bersama.

Bila menerima pesan mencurigakan yang mengatasnamakan Kami, teruskan ke security@brickwavestudio.id.

Kami menghargai peneliti keamanan yang menemukan dan melaporkan celah secara bertanggung jawab. Kirim laporan ke security@brickwavestudio.id dengan informasi berikut:

1. jenis celah dan URL atau komponen yang terdampak;
2. langkah reproduksi yang jelas, termasuk permintaan HTTP atau tangkapan layar bila ada;
3. dampak yang mungkin terjadi apabila celah dieksploitasi; dan
4. kontak yang dapat Kami hubungi untuk klarifikasi.

Informasi kontak keamanan juga tersedia dalam format standar di /.well-known/security.txt.

Dalam cakupan

• brickwavestudio.id beserta subdomainnya
• alur autentikasi, checkout, unduhan, dan API milik Situs

Di luar cakupan

• layanan milik pihak ketiga, termasuk mitra pembayaran dan platform Roblox; laporkan langsung ke penyedianya
• temuan tanpa dampak nyata, seperti header informatif atau hasil pemindai otomatis tanpa bukti eksploitasi
• serangan yang memerlukan akses fisik ke perangkat korban atau perangkat yang sudah dibobol

Aturan

• Gunakan hanya Akun milik Anda sendiri untuk pengujian.
• Jangan mengakses, mengubah, atau menghapus data milik pengguna lain. Hentikan pengujian segera setelah celah terbukti.
• Jangan melakukan serangan DoS, spam, social engineering terhadap staf atau pengguna, maupun pengujian fisik.
• Jangan melakukan pembelian dengan metode pembayaran milik orang lain.
• Rahasiakan temuan sampai Kami menyatakan celah telah diperbaiki.

• Kami mengonfirmasi penerimaan laporan dalam 2 hari kerja.
• Kami memberi kabar perkembangan penanganan secara berkala hingga celah ditutup.
• Dengan persetujuan Anda, Kami mencantumkan nama Anda sebagai ucapan terima kasih setelah perbaikan selesai.
• Kami tidak akan menempuh langkah hukum terhadap pelapor yang menguji dengan itikad baik dan mematuhi aturan di halaman ini.

Saat ini Kami belum menjalankan program bug bounty berhadiah uang.

Apabila terjadi insiden keamanan, Kami akan menahan dampaknya, menyelidiki penyebabnya, dan memulihkan layanan. Bila insiden melibatkan data pribadi Anda, Kami akan memberi tahu Anda sesuai ketentuan dalam Kebijakan Privasi.