Lebih terarah
Pemeriksaan fokus pada aset, fitur, dan alur penting yang telah disetujui klien.
XYNY / SECURITY SERVICE / 08
Kenali celahnya.
Kendalikan risikonya.
Layanan bug bounty dan pengujian keamanan untuk membantu perusahaan menilai aplikasi web dan API secara terarah—dengan izin tertulis, batas pengujian jelas, dan laporan yang bisa ditindaklanjuti.
01 Izin lebih dahulu02 Scope terdokumentasi03 Laporan terstruktur
XYNY / SECURITY REVIEW AUTHORIZED ONLY
ILUSTRASI KONSEPTUAL — BUKAN HASIL AUDIT
SECURITY IS A PROCESS, NOT A PROMISE.Jelajahi layanan
01 / DEFINISI LAYANAN
Temuan teknis harus
menjadi keputusan bisnis.
Dalam konteks XYNY, layanan bug bounty adalah proses pencarian dan pelaporan kelemahan keamanan yang dilakukan atas persetujuan pemilik sistem, pada target yang sudah disetujui. Bentuk pengerjaannya dapat berupa penilaian keamanan dengan ruang lingkup tetap yang dituangkan dalam kontrak.
Tujuannya bukan sekadar menyebutkan sebuah bug, melainkan membantu penanggung jawab sistem memahami di mana risikonya, apa dampak yang masuk akal, dan tindakan apa yang sebaiknya diprioritaskan.
Tidak ada pengujian yang dapat menjamin seluruh celah ditemukan atau sistem pasti aman.
Lebih terbaca
Risiko diterjemahkan menjadi penjelasan yang berguna bagi pengambil keputusan dan tim teknis.
Lebih dapat ditindaklanjuti
Temuan disertai prioritas dan arahan perbaikan agar langkah berikutnya lebih jelas.
01A / PORTOFOLIO PEMBELAJARANXYNY SECURITY · DOCUMENTED CREDENTIALS
OPEN LEARNING RECORDS / 2026
Membangun pengetahuan.
Menampilkan buktinya.
Pengembangan pengetahuan keamanan informasi didokumentasikan secara terbuka. Berikut sertifikasi vendor dan sertifikat pendidikan yang diperoleh Rocxy Sitanggang melalui Fortinet Training Institute, Saylor University, Qualys Training & Certification Center, dan APIsec University.
06dokumen
VENDOR CERTIFICATION &COURSE COMPLETION RECORDS
01 / FORTINET TRAINING INSTITUTENSE 3 CERTIFIED · VALID THROUGH 2028
Fortinet Training InstituteVENDOR CERTIFICATION · 01 / 06
Fortinet NSE 3 Certified in Cybersecurity
Kredensial sertifikasi keamanan siber dari Fortinet Training Institute, dengan masa berlaku yang tercantum pada dokumen. Fokus pada pengetahuan cybersecurity dan solusi keamanan, bukan sertifikasi khusus penetration testing.
DIRAIH21 Okt 2026
BERLAKU HINGGA21 Okt 2028
TINGKATNSE 3
Nomor validasi: 7403421889RS
Sertifikat Fortinet NSE 3 adalah kredensial vendor. Keaslian dapat diperiksa melalui portal resmi menggunakan nomor validasi di atas.
02 / QUALYS TOTALAPPSECCOURSE COMPLETED · 8 HOURS
Qualys Training & Certification CenterCOURSE 02 / 06
Qualys TotalAppSec
Pencapaian pembelajaran terkait keamanan aplikasi web dan API, dengan fokus pada pentingnya mendeteksi serta memahami risiko keamanan aplikasi.
SELESAI21 Okt 2026
COURSE HOURS8 jam
DOKUMENCompletion
Bukti penyelesaian kursus pendidikan Qualys, bukan sertifikasi Qualys Specialist atau lisensi penetration testing.
03 / APISEC UNIVERSITYCERTIFICATE OF COMPLETION · 12 HOURS
APIsec UniversityCOURSE 03 / 06
API Penetration Testing
Penyelesaian pembelajaran pengujian keamanan API. Materi ini mendukung pemahaman metodologi pemeriksaan API dan identifikasi risiko keamanan dalam ruang lingkup pengujian yang berizin.
TERBIT20 Okt 2026
DURASI KURSUS12 jam
JENISCompletion
Bukti penyelesaian kursus APIsec University, bukan sertifikasi profesional penetration tester atau lisensi audit keamanan.
04 / APISEC UNIVERSITYCERTIFICATE OF COMPLETION · 2 HOURS
APIsec UniversityCOURSE 04 / 06
API Security Fundamentals ’25
Penyelesaian kursus dasar keamanan API, termasuk pengenalan risiko autentikasi, otorisasi, dan OWASP API Security Top 10. Kredensial dapat ditinjau melalui badge digital Credly.
TERBIT20 Okt 2026
DURASI KURSUS2 jam
JENISCompletion
Bukti penyelesaian kursus pendidikan APIsec University; bukan sertifikasi praktisi penetration testing.
05 / QUALYSFOUNDATION COMPLETE
Qualys Training & Certification CenterCOURSE 05 / 06
Vulnerability Management Foundations
Pembelajaran dasar inventaris aset, penilaian kerentanan, prioritas risiko, dan siklus perbaikan keamanan.
SELESAI21 Okt 2026
COURSE HOURS1 jam
JENISCompletion
06 / SAYLOR UNIVERSITYCERTIFICATE OF ACHIEVEMENT
Saylor UniversityCOURSE 06 / 06
CS406: Information Security
Pembelajaran dasar keamanan informasi, kerahasiaan dan integritas data, kontrol akses, ancaman, serta keamanan jaringan.
NILAI AKHIR89,80%
DURASI46 jam
EDUCATION UNITS4,6 CEU
Diterbitkan 20 Okt 2026 · ID 7448065607RS
Buka PDF Saylor 
Halaman 2
Transparansi kredensial. Enam dokumen di atas terdiri atas satu sertifikasi vendor Fortinet NSE 3 dan lima bukti penyelesaian atau pencapaian kursus. Kredensial tersebut bukan sertifikasi profesi penetration tester seperti OSCP atau CREST CRT, serta tidak menjamin keamanan suatu sistem. Pengujian hanya dapat dilakukan berdasarkan izin yang sah serta ruang lingkup tertulis.
Diskusikan kebutuhan keamanan02 / TARGET & BATAS
DEFINE BEFORE TESTINGBatas jelas.
Pekerjaan terukur.
Pengujian dimulai dari daftar aset, batas izin, dan aturan pelaksanaan. Daftar di bawah adalah contoh yang bisa dibahas, bukan izin otomatis untuk menguji aset tersebut.
Aplikasi web
Situs publik, portal pelanggan, dashboard internal yang diizinkan, formulir, autentikasi, dan alur penting bisnis.
- Domain dan subdomain terdaftar
- Fitur dan peran akun uji
- Lingkungan produksi atau staging
API & integrasi
Endpoint REST atau GraphQL yang disetujui, kontrol akses, autentikasi, serta pertukaran data antarsistem.
- Base URL dan daftar endpoint
- Dokumentasi atau skema API
- Token dan akun khusus pengujian
Aturan pengujian
Kesepakatan tertulis mengatur waktu pelaksanaan, batas intensitas, pembatasan data, tindakan yang dilarang, dan kontak darurat.
- Otoritas pemilik & izin tertulis
- Target yang tegas dan terukur
- Prosedur berhenti jika ada risiko
Catatan penting: Aset pihak ketiga, layanan vendor, domain anak, dan infrastruktur cloud tidak otomatis termasuk meskipun terhubung dengan aplikasi utama. Setiap aset perlu otorisasi yang sesuai.
03 / METODE KERJA
FROM AGREEMENT TO ACTIONEnam tahapan.
Satu alur yang jelas.
Setiap tahap dirancang agar pekerjaan dapat dipantau, ruang lingkup tidak melebar diam-diam, dan hasil akhirnya mudah dipakai.
- 01
Konsultasi & perumusan scope
Pahami tujuan, sistem yang dikelola, prioritas, batas waktu, jumlah aset, serta informasi teknis yang diperlukan.
- 02
Persetujuan dan izin tertulis
Konfirmasi kepemilikan atau kewenangan, daftar target, batas pengujian, kanal eskalasi, dan ketentuan perjanjian sebelum aktivitas dimulai.
- 03
Pelaksanaan pengujian
Penilaian terhadap bagian yang disepakati, dengan pendekatan terkendali untuk mengurangi risiko gangguan operasional.
- 04
Verifikasi & penilaian temuan
Validasi indikasi masalah, hindari kesimpulan dari dugaan semata, dan nilai dampaknya menurut konteks sistem.
- 05
Penyerahan laporan
Ringkasan bagi pimpinan, temuan teknis, prioritas risiko, bukti aman, dan rekomendasi perbaikan.
- 06
Retest termasuk satu putaran
Ajukan temuan yang sudah diperbaiki dalam 30 hari kalender sejak laporan final, pada aset dan versi sama. Retest memvalidasi perbaikan, bukan pengujian penuh ulang.
04 / HASIL YANG DITERIMA
Bukan tumpukan istilah.
Laporan yang membantu bertindak.
Bentuk laporan mengikuti paket dan kebutuhan pengambil keputusan. Di dalamnya ada konteks bisnis sekaligus catatan teknis yang terkendali.
- Ringkasan eksekutif: gambaran kondisi dan prioritas
- Daftar temuan terverifikasi serta status dan tingkat risiko
- Dampak yang relevan untuk sistem dan proses bisnis
- Bukti terbatas yang disanitasi dan tidak mengungkap data sensitif
- Langkah reproduksi yang terkendali untuk tim berwenang
- Saran mitigasi dan urutan perbaikan
- Catatan scope, batasan, dan opsi retest
Contoh visual di samping bersifat fiktif. Ini bukan temuan dari klien atau hasil uji nyata.
XYNY / SAMPLE REPORTDEMO ONLY
ASSESSMENT REPORT / EXAMPLE
Keputusan yang lebih baik berawal dari informasi yang jelas.
RINGKASAN EKSEKUTIF 01 / 05
Contoh temuan — ilustratifSR-01 / KONTROL AKSES
CONTOH • TINGGIDAMPAK POTENSIAL
Pemisahan hak akses antarakun perlu diperiksa pada alur tertentu.
BUKTI AMAN & VALIDASI
Dokumentasi terbatas menggunakan akun uji dan data sintetis sesuai persetujuan.
REKOMENDASI
Evaluasi otorisasi di sisi server dan uji ulang setelah perbaikan.
CONFIDENTIAL / CUSTOMER COPY XYNY / 08
04A / SECURITY RESEARCH PORTFOLIO · 10 TRAINING CASE STUDIESAUTHORIZED TRAINING LAB · 21 OCT 2026
PORTSWIGGER WEB SECURITY ACADEMY / LAB-001
Bukti praktik.
Sepuluh laboratorium dituntaskan.
Sepuluh studi kasus pengujian keamanan aplikasi web pada laboratorium resmi PortSwigger: access control, SQL injection, XSS, 2FA bypass, IDOR, CSRF, SSRF, path traversal, file upload RCE, dan OS command injection. Screenshot serta laporan latihan ditampilkan sesuai bukti yang tersedia; bukti screenshot LAB-007 masih berupa log dan konfirmasi peserta.
CASE STUDY / 001
SOLVED
Unprotected admin functionality
Lab latihan resmi
Lab latihan resmi
THE INVESTIGATION
Akses admin tanpa login, terverifikasi di lab.
File /robots.txt pada instance latihan mengungkap jalur /administrator-panel. Panel tersebut dapat dibuka tanpa autentikasi dan menampilkan aksi administratif. Penghapusan akun target simulasi berhasil dilakukan sehingga sistem lab menampilkan status “Solved”.
Perlu dibedakan: file robots.txt bukan celah akses dengan sendirinya. Temuan utamanya adalah fungsi administrator yang tidak mewajibkan otorisasi sebelum menampilkan dan menjalankan aksi sensitif.
EVIDENCE ARCHIVE / THREE STEPS
Jejak pengujian yang terdokumentasi.
01 / DISCOVERY
Petunjuk jalur admin
Path panel terlihat di robots.txt; belum menjadi bukti kebocoran hak akses.
02 / VALIDATION
Panel tanpa autentikasi
Fungsi administrasi terlihat pada sesi lab tanpa kredensial admin.
03 / OUTCOME
Hasil terverifikasi
Penghapusan akun latihan berhasil; lab menampilkan status Solved.
Transparansi portofolio. Ini adalah latihan berizin di lingkungan simulasi PortSwigger Web Security Academy, bukan audit keamanan pelanggan, sertifikasi profesional, atau bukti pemindaian sistem produksi. Klasifikasi High bersifat penilaian kualitatif untuk kasus latihan, bukan CVSS resmi.
CASE STUDY / 002PORTSWIGGER · AUTHORIZED TRAINING LAB
VALIDATED TRAINING EXERCISE / CWE-89
SQL Injection.
Filter dilewati, data tersembunyi tampil.
Pengujian terkendali pada parameter kategori produk membuktikan bahwa query dapat dipengaruhi input pengguna. Skenario diselesaikan dalam lingkungan latihan resmi PortSwigger, dengan bukti status Solved yang terdokumentasi.
ASSESSMENT / 00202SOLVEDSQL INJECTION · PORTSWIGGER
VULNERABILITYSQL Injection / CWE-89
ENTRY POINT
/filter?category=SEVERITYHigh (simulasi)
DATE21 Okt 2026
METHOD / MANUAL VALIDATION
Boolean condition pada filter kategori.
Nilai parameter category dimodifikasi menjadi ekspresi boolean yang selalu benar. Pada lab sengaja rentan ini, respons menampilkan produk di luar filter dan pemberitahuan Lab Solved.
TEST INPUT / TRAINING LAB ONLY
Lifestyle' OR 1=1--Batas bukti: percobaan ini membuktikan bypass filter pada lab, bukan pencurian akun, akses database produksi, atau takeover server.
EVIDENCE / REAL TRAINING SESSION
Tiga tahap pembuktian.
TRANSPARANSI
Studi kasus ini dilakukan pada lingkungan pelatihan PortSwigger yang sengaja rentan. Ini bukan audit terhadap sistem klien, bukan sertifikasi kompetensi profesional, dan bukan klaim pengalaman pengujian perusahaan. Risiko High bersifat kualitatif untuk skenario latihan.
CASE STUDY / 003PORTSWIGGER WEB SECURITY ACADEMY · AUTHORIZED LAB
VALIDATED TRAINING EXERCISE / CWE-79
Reflected XSS.
Input berubah menjadi kode.
Kolom pencarian pada aplikasi lab memantulkan input pengguna dalam konteks HTML tanpa encoding. Payload pengujian menjalankan JavaScript sederhana, dibuktikan melalui dialog alert(1) serta status Solved pada PortSwigger.
CASE 00303LAB SOLVED21 OCT 2026
TEST LOG / MANUAL VERIFICATION
Reflected input sampai eksekusi JavaScript.
Percobaan awal dengan XYNYTEST menghasilkan teks yang tercermin dalam halaman. Percobaan berikutnya menggunakan payload sederhana dan browser menampilkan dialog bernilai 1. Status lab kemudian berubah menjadi Solved.
PAYLOAD · TRAINING LAB ONLY
<script>alert(1)</script>Batas pembuktian: bukti hanya menunjukkan eksekusi skrip di lab latihan. Tidak ada klaim pencurian cookie, takeover akun, akses pengguna nyata, ataupun pengujian pada sistem produksi.
EVIDENCE / TRAINING SESSION
Rekam bukti yang bisa diperiksa.
TRANSPARANSI. Proyek ini dilakukan di laboratorium resmi PortSwigger yang sengaja rentan. Portofolio latihan tidak sama dengan audit klien dan tidak menjadi klaim sertifikasi profesional. Rating High adalah penilaian indikatif, bukan skor CVSS terhitung.
SEVEN ADDITIONAL CASE STUDIES
Dari autentikasi
hingga keamanan server.
Tujuh pengujian tambahan memperlihatkan validasi autentikasi, IDOR, CSRF, SSRF, path traversal, unggah file PHP, dan OS command injection. Materi ini adalah portofolio latihan yang disusun dari hasil pengujian peserta di lab resmi, bukan studi kasus klien.
10 / 10LAB DISELESAIKAN*
07STUDI KASUS TAMBAHAN
24SCREENSHOT PORTOFOLIO
10LAPORAN PDF SEMUA LAB
*LAB-001–006 dan LAB-008–010 memiliki bukti visual status Solved dari peserta. LAB-007 dinyatakan Solved oleh peserta; screenshot status akhirnya belum tersedia, tetapi respons HTTP dari pengujian tersedia sebagai bukti parsial. Semua studi kasus berasal dari laboratorium latihan, bukan sistem klien.
CASE STUDY / 004SOLVED · BUKTI VISUAL
2FA BypassAkses akun sebelum faktor kedua diverifikasi
Lab mengizinkan akun latihan carlos membuka /my-account setelah login kata sandi, tanpa memasukkan kode 2FA.
HASIL TERAMATIScreenshot PortSwigger memperlihatkan LAB Solved dan username carlos pada halaman akun.
CASE STUDY / 005SOLVED · BUKTI VISUAL
IDOR / Access ControlObjek akun lain dapat dibaca lewat parameter ID
Ketika login sebagai wiener di lab, parameter id diganti menjadi carlos; aplikasi menampilkan data akun dan API key simulasi milik carlos.
HASIL TERAMATIScreenshot baseline, akses carlos, dan status Solved. API key lab disamarkan pada aset publik.
CASE STUDY / 006SOLVED · BUKTI VISUAL
Cross-Site Request ForgeryPerubahan email dipicu oleh situs luar
Pada lab PortSwigger, halaman HTML eksternal menggunakan form POST otomatis untuk memicu perubahan email akun simulasi yang sedang login.
HASIL TERAMATIExploit Server resmi menunjukkan payload latihan dan label LAB Solved pada halaman yang sama.
CASE STUDY / 007SOLVED DIKONFIRMASI · BUKTI PARSIAL
BURP REPEATER / SANITIZED RESPONSE
HTTP/2 200 OKGET localhost/admin (via stockApi)<h1>Users</h1>Final Solved: dilaporkan peserta, screenshot belum tersedia.Server-Side Request ForgeryFitur cek stok membaca panel admin lokal
Di lab PortSwigger, request POST /product/stock yang menggunakan parameter stockApi diarahkan ke http://localhost/admin. Respons HTTP 200 memuat halaman panel admin internal beserta daftar pengguna.
HASIL TERAMATIBukti teks: respons Burp Repeater HTTP/2 200 OK dan HTML panel admin diterima dari peserta. Status Solved dikonfirmasi peserta melalui chat; belum ada screenshot Solved untuk verifikasi visual.
CASE STUDY / 008SOLVED · SCREENSHOT TERSEDIA
LIHAT BUKTI ↗
File Path TraversalPembacaan file di luar direktori gambar
Pada instance laboratorium PortSwigger, endpoint gambar menerima parameter filename. Ketika nilai diarahkan keluar dari direktori gambar, server mengembalikan isi file sistem /etc/passwd.
HASIL TERAMATIBurp Repeater memperlihatkan permintaan /image?filename=... menuju berkas sistem dan HTTP 200 dengan entri akun Linux. Screenshot status PortSwigger menunjukkan LAB Solved.
CASE STUDY / 009SOLVED · SCREENSHOT TERSEDIA
LIHAT BUKTI ↗
Unrestricted File Upload / RCEEksekusi file PHP di direktori avatar
Pada lab upload avatar, aplikasi menerima file PHP dan memprosesnya sebagai skrip saat file itu diakses melalui URL publik. Pengujian dimulai dari penanda teks sederhana lalu membaca berkas rahasia simulasi yang ditentukan lab.
HASIL TERAMATITerdapat screenshot bahwa lab009.php berhasil diunggah, respons browser menampilkan marker XYNY-LAB009-TEST, serta bukti file latihan dapat dibaca. Screenshot terakhir memperlihatkan LAB Solved.
CASE STUDY / 010SOLVED · SCREENSHOT TERSEDIA
LIHAT BUKTI ↗
OS Command InjectionPerintah sistem operasi berjalan dari input stok
Dalam lab pemeriksaan stok, parameter storeId digunakan pada eksekusi perintah server tanpa pemisahan yang aman. Pengujian melalui Burp Repeater menunjukkan hasil whoami dalam respons HTTP.
HASIL TERAMATIBurp Repeater menampilkan POST /product/stock dengan nilai storeId yang disisipi pemisah perintah; respons HTTP 200 mengembalikan nama pengguna proses. Screenshot lain menunjukkan LAB Solved.
05 / INVESTASI KEAMANAN
KETETAPAN XYNY / RUPIAHScope berbeda.
Investasi disesuaikan.
Harga tetap untuk batas scope tertulis, bukan tarif resmi industri. Proposal final mengikuti aset, role, endpoint, kompleksitas, izin dan effort yang disepakati. Scope tambahan ditawarkan sebelum pekerjaan dimulai.
01 / SECURITY
Web Focus
Rp22.000.000
Harga untuk batas scope1 aplikasi web kecil/menengah · 1 environment · maks. 2 role uji · hingga 25 alur/fungsi prioritas
ENVIRONMENT1 environment yang disepakatiEFFORT DAN TARGET5 hari kerja pengujian/analisis · target selesai sekitar 7–10 hari kerjaTERMASUKLaporan teknis, ringkasan eksekutif, satu sesi pemaparan jarak jauh dan satu putaran retest dalam 30 hari kalender sejak laporan final.
Bahas Web Focus 02 / SECURITY
Web + API Standard
Rp38.000.000
Harga untuk batas scope1 aplikasi web + 1 API terkait · 1 environment · maks. 3 role uji · hingga 40 endpoint API
ENVIRONMENT1 environment yang disepakatiEFFORT DAN TARGET8 hari kerja pengujian/analisis · target selesai sekitar 10–15 hari kerjaTERMASUKLaporan teknis, ringkasan eksekutif, satu sesi pemaparan jarak jauh dan satu putaran retest dalam 30 hari kalender sejak laporan final.
Bahas Web + API Standard 03 / SECURITY
Web + API Complex
Rp65.000.000
Harga untuk batas scope1 aplikasi web + 1 API terkait · 1 environment · maks. 5 role uji · hingga 80 endpoint · alur kompleks
ENVIRONMENT1 environment yang disepakatiEFFORT DAN TARGET12 hari kerja pengujian/analisis · target selesai sekitar 15–20 hari kerjaTERMASUKLaporan teknis, ringkasan eksekutif, satu sesi pemaparan jarak jauh dan satu putaran retest dalam 30 hari kalender sejak laporan final.
Bahas Web + API Complex Harga tetap berlaku untuk batas scope; bukan harga resmi industri. Pembayaran 50% uang muka dan 50% setelah debrief, sebelum laporan final diterbitkan. Proposal berlaku 30 hari. Harga belum termasuk pajak yang berlaku, perjalanan/akomodasi, lisensi pihak ketiga, remediasi dan modul di luar scope. Target kalender sejak kickoff lengkap merupakan estimasi, bukan SLA mutlak. Retest memvalidasi perbaikan pada aset dan versi yang sama, bukan tes ulang penuh.
06 / MEKANISME KERJA SAMA
CONTRACT FIRSTTerukur sejak kontrak.
Jelas sampai pembayaran.
Ketentuan berikut mengikuti ketetapan XYNY Security versi 2.0 tanggal 2 November 2026. Scope, izin dan aturan keterlibatan tetap dituangkan dalam proposal/SPK/RoE sebelum pengujian.
Scope & izin sebelum mulai
Sebelum kickoff: proposal/SPK, surat otorisasi, target final, RoE, akun uji, PIC darurat dan izin provider bila diperlukan. Tuliskan domain/URL/API, environment, role, waktu WIB, sumber IP, batas request dan kondisi stop. Izin tidak melebar ke aset/tenant/pihak ketiga lain.
50% awal · 50% sebelum laporan final
50% uang muka untuk pemesanan jadwal; 50% setelah debrief dan sebelum laporan final diterbitkan. Jadwal dikunci setelah DP, dokumen otorisasi dan akses lengkap. Proposal berlaku 30 hari; pajak yang berlaku, perjalanan/akomodasi dan pihak ketiga terpisah setelah disetujui.
Data ditangani secara terbatas
Bukti rahasia disamarkan, akses dibatasi dan transfer melalui kanal yang disepakati. Retensi, penghapusan, penerima laporan, backup/pemulihan dan kontak eskalasi ditulis di SPK. Tidak ada publikasi nama/logo/temuan klien tanpa izin tertulis terpisah. Remediasi, compliance/sertifikasi, IR/forensik dan monitoring berkelanjutan tidak otomatis termasuk.
Tidak ada pengujian aktif sebelum bukti izin yang sah dan scope tertulis tersedia. Perubahan target atau kebutuhan tambahan dibahas sebagai amandemen tertulis.
Modul tambahan.
Setelah scope dikonfirmasi.
API assessment mandiri
Mulai Rp28.000.000
1 API · hingga 30 endpoint · maks. 2 role · 6 hari kerja
Mobile — satu platform
Mulai Rp35.000.000
1 aplikasi Android atau iOS · 1 build · maks. 2 role; backend hanya bila masuk scope
External exposure review
Mulai Rp25.000.000
Aset domain/IP milik klien yang disepakati; validasi exposure terbatas, tidak destruktif
Cloud configuration review
Mulai Rp30.000.000
1 akun/proyek cloud · akses baca-saja · checklist disepakati
Source-code security review
Mulai Rp35.000.000
1 repositori/bahasa utama; file, modul, kedalaman dan rahasia ditetapkan setelah review
Hari assessor tambahan
Rp5.500.000
Per person-day yang disetujui; tidak menambah target otomatis
Modul hanya dikonfirmasi setelah kemampuan personel, tooling, akses dan izin pihak ketiga siap. Hari assessor tambahan dihitung per person-day yang disetujui. Tidak ada penambahan target otomatis.
07 / PRINSIP KEAMANAN
Tegas terhadap batas.
Hati-hati terhadap dampak.
Layanan berlaku hanya untuk sistem milik klien atau sistem yang secara sah diizinkan oleh pemiliknya untuk diuji. Batasan ini melindungi klien, pengguna akhir, dan keberlangsungan layanan.
Minta pembahasan ruang lingkupTarget di luar persetujuan
Tidak menguji domain, akun, penyedia, atau layanan lain di luar daftar tertulis.
Gangguan operasional
Tidak mencakup aktivitas yang menyebabkan penghentian layanan, beban berlebihan, atau gangguan pengguna.
Data pengguna sesungguhnya
Tidak mengambil, menyalin, menyebarkan, atau mengeksplorasi data pribadi pengguna. Gunakan data sintetis dan akun uji sesuai izin.
Perubahan atau kerusakan sistem
Tidak mencakup tindakan destruktif, perubahan konfigurasi, penghapusan data, atau perubahan permanen tanpa persetujuan khusus dan pengamanan yang memadai.
08 / PERTANYAAN UMUM
Yang perlu jelas
sebelum dimulai.
Masih ada pertanyaan di luar daftar ini? Diskusikan kebutuhan sistem dan batas pengujian terlebih dahulu.
Diskusikan kebutuhan ↗Apa yang perlu disiapkan oleh klien?
Daftar domain/aplikasi/API, identitas pihak berwenang, tujuan pengujian, gambaran arsitektur yang relevan, kontak PIC, jadwal aman, dan akun uji dengan hak akses sesuai kebutuhan. Jangan kirim kata sandi melalui formulir publik.
Apakah pengujian boleh dilakukan tanpa izin tertulis?
Tidak. Pengujian aktif baru dilakukan setelah kewenangan pemilik sistem terverifikasi dan scope beserta batasnya disepakati secara tertulis. Izin untuk satu domain tidak otomatis berlaku untuk seluruh subdomain atau layanan pihak ketiga.
Berapa lama pengerjaannya?
Web Focus: 5 hari kerja pengujian/analisis · target selesai sekitar 7–10 hari kerja; Web + API Standard: 8 hari kerja pengujian/analisis · target selesai sekitar 10–15 hari kerja; Web + API Complex: 12 hari kerja pengujian/analisis · target selesai sekitar 15–20 hari kerja. Kalender sejak kickoff lengkap adalah estimasi, bukan SLA mutlak; waktu tunggu akses/konfirmasi dapat menggeser laporan.
Apa yang akan diterima klien?
Pengujian manual dan alat bantu sesuai scope. Rujukan terpilih: OWASP WSTG v4.2, ASVS 5.0.0 bila level disepakati, API Top 10 2023 dan NIST SP 800-115. Termasuk triase, laporan teknis, ringkasan eksekutif serta satu sesi pemaparan jarak jauh; temuan Critical/High tervalidasi dikomunikasikan segera.
Apakah semua celah pasti ditemukan?
Tidak. Pengujian memberi penilaian pada ruang lingkup dan waktu tertentu. Tidak adanya temuan bukan bukti bahwa sistem bebas kerentanan.
Apakah retest termasuk harga?
Ajukan temuan yang sudah diperbaiki dalam 30 hari kalender sejak laporan final; aset dan versi sama. Retest memvalidasi perbaikan, bukan pengujian ulang penuh. Status fixed, partially fixed, unresolved atau not retestable. Tambahan siklus atau versi/sistem baru ditawarkan terpisah.
Bagaimana harga final ditentukan?
Melalui jumlah serta karakter aset, kompleksitas autentikasi, integrasi, kedalaman pengujian, target penyelesaian, kebutuhan laporan, dan pilihan retest. Proposal final diterbitkan setelah scope serta izin dibahas.
09 / START THE CONVERSATION
Mari tentukan
apa yang perlu diuji.
Ceritakan jenis sistem, jumlah aset, dan tujuan pengujian. Diskusi awal membantu menyusun scope dan penawaran yang masuk akal. Jangan kirim kredensial, data pribadi pengguna, atau informasi rahasia melalui formulir ini.
Kontak WhatsApp mengikuti kontak yang tercantum pada website XYNY sumber.