Konfigurasi Default

Konfigurasi default adalah nilai bawaan yang aktif sebelum ada penyesuaian dari pengelola aplikasi. Nilai bawaan memang mempercepat instalasi, tetapi banyak di antaranya mengutamakan kemudahan pengembangan daripada keamanan sehingga sering terbawa sampai production. Pada OWASP Top 10:2025, kelompok masalah ini tergabung dalam kategori A02 Security Misconfiguration yang naik dari peringkat lima pada edisi 2021 menjadi peringkat dua pada edisi 2025. Topik ini membahas tiga bentuk miskonfigurasi yang paling sering ditemukan, yaitu halaman debug, aplikasi contoh, dan pesan error yang terlalu rinci, disertai pengujian kecil yang memperlihatkan informasi apa yang sebenarnya bocor.

Mengapa nilai default berisiko#

Framework dan penginstal dirancang agar aplikasi dapat berjalan dalam hitungan menit. Agar tujuan itu tercapai, nilai bawaan dipilih untuk kenyamanan: mode debug aktif agar error mudah dibaca, aplikasi contoh tersedia untuk ditiru, dan akun bawaan disiapkan agar panel administrasi langsung dapat dibuka. Pengelola yang hanya menyalin langkah instalasi mewarisi seluruh nilai tersebut tanpa menyadarinya. Sementara itu, daftar nilai default setiap teknologi sudah terdokumentasi luas dan dicoba secara otomatis oleh pemindai, sehingga penyerang tidak perlu menemukan kerentanan baru untuk masuk.

Tabel berikut merangkum nilai default yang paling sering ditemukan beserta kegunaan aslinya.

Tiga bentuk pertama pada tabel dibahas berurutan di bagian berikutnya. Seluruh pengujian dilakukan hanya terhadap aplikasi milik sendiri atau lab yang diizinkan, sesuai kerangka etika jalur ini. Pemeriksaan konfigurasi memang tidak mengubah aplikasi apa pun, tetapi hasilnya tetap bersifat sensitif karena memperlihatkan celah sebelum celah itu ditutup.

Halaman debug dan pesan error yang terlalu rinci#

Saat terjadi error yang tidak tertangani, aplikasi pada mode production menampilkan halaman generik dengan kode status 500. Mode debug menggantikan halaman itu dengan laporan traceback, yaitu jejak pemanggilan yang memuat jalur berkas, nomor baris, potongan kode, isi variabel, hingga versi framework. Informasi semacam ini tepat untuk pengembang dan sama tepatnya untuk penyerang, karena struktur internal aplikasi sudah tersaji tanpa memerlukan rekayasa. Pesan error yang terlalu rinci tidak selalu berasal dari halaman debug, karena pesan dari database atau sistem berkas yang diteruskan mentah ke browser memberi bocoran yang sama.

Skrip berikut menjalankan dua penangan error atas masukan yang sama, yaitu daftar nilai kosong yang membuat pembagi menjadi nol. Versi debug membiarkan traceback tampil penuh, sedangkan versi produksi menampilkan pesan umum dan mencatat rinciannya ke log internal. Simpan berkas berikut sebagai penanganan-error.py, lalu jalankan dengan perintah python3 penanganan-error.py.

"""Dua penangan error atas masukan yang sama: mode debug dan mode produksi.

Versi debug membiarkan traceback tampil penuh sehingga nama berkas,
nomor baris, dan nama fungsi terlihat oleh pengguna. Versi produksi
menampilkan pesan umum kepada pengguna, sedangkan rinciannya dicatat
ke log internal untuk diagnosis.
"""

import logging
import os
import sys
import traceback

# Kode "aplikasi" disusun dari string dengan nama berkas tiruan agar
# traceback memperlihatkan jalur berkas sebagaimana aplikasi nyata.
KODE_APLIKASI = """\
def hitung_rata(daftar_nilai):
    total = sum(daftar_nilai)
    return total / len(daftar_nilai)

def proses_akhir(daftar_nilai):
    return hitung_rata(daftar_nilai)
"""

APLIKASI = {}
exec(compile(KODE_APLIKASI, "nilai.py", "exec"), APLIKASI)


def tampilkan_traceback(exc):
    """Mencetak traceback dengan frame milik skrip simulasi dibuang."""
    tb = exc.__traceback__
    nama_skrip = os.path.basename(__file__)
    while tb is not None and os.path.basename(tb.tb_frame.f_code.co_filename) == nama_skrip:
        tb = tb.tb_next
    for baris in traceback.format_exception(type(exc), exc, tb):
        print(baris, end="")


def mode_debug(daftar_nilai):
    print("[mode debug] halaman yang diterima pengguna:")
    try:
        rata = APLIKASI["proses_akhir"](daftar_nilai)
    except ZeroDivisionError as exc:
        tampilkan_traceback(exc)
    else:
        print(f"Rata-rata nilai: {rata}")


def mode_produksi(daftar_nilai):
    try:
        rata = APLIKASI["proses_akhir"](daftar_nilai)
    except ZeroDivisionError as exc:
        logging.error("gagal menghitung rata-rata: %s", exc)
        print("[mode produksi] halaman yang diterima pengguna: Terjadi kesalahan pada server. Coba beberapa saat lagi.")
    else:
        print(f"[mode produksi] halaman yang diterima pengguna: Rata-rata nilai: {rata}")


def utama():
    logging.basicConfig(
        stream=sys.stdout,
        level=logging.ERROR,
        format="[log internal] %(levelname)s %(name)s: %(message)s",
    )
    print("== Dua penangan error atas masukan yang sama ==")
    nilai = [80, 90, 100]
    print("Masukan valid:", nilai)
    mode_debug(nilai)
    mode_produksi(nilai)
    print()
    print("Masukan kosong sehingga pembaginya nol: []")
    mode_debug([])
    mode_produksi([])


utama()

== Dua penangan error atas masukan yang sama ==
Masukan valid: [80, 90, 100]
[mode debug] halaman yang diterima pengguna:
Rata-rata nilai: 90.0
[mode produksi] halaman yang diterima pengguna: Rata-rata nilai: 90.0

Masukan kosong sehingga pembaginya nol: []
[mode debug] halaman yang diterima pengguna:
Traceback (most recent call last):
  File "nilai.py", line 6, in proses_akhir
  File "nilai.py", line 3, in hitung_rata
ZeroDivisionError: division by zero
[log internal] ERROR root: gagal menghitung rata-rata: division by zero
[mode produksi] halaman yang diterima pengguna: Terjadi kesalahan pada server. Coba beberapa saat lagi.

Pada masukan yang valid, keduanya menghasilkan respons yang sama, yaitu nilai rata-ratanya. Perbedaan baru muncul saat error. Halaman debug memperlihatkan nama berkas nilai.py, nomor baris 3 dan 6, nama fungsi, serta jenis error, padahal seluruh rincian itu tidak diperlukan oleh pengguna. Versi produksi menampilkan satu kalimat generik, sedangkan rincian yang sama justru masuk ke log internal untuk diagnosis pengembang.

Nilai yang menentukan mode ini hampir selalu berupa kunci pada berkas konfigurasi aplikasi.

# lingkungan pengembangan, nilai bawaan banyak framework
debug: true

# production, nilai yang wajib ditetapkan secara eksplisit
debug: false

Apabila ada aplikasi latihan lokal yang berjalan pada port 8000, keberadaan halaman debug diperiksa dengan meminta jalurnya secara langsung. Respons yang memuat kata “Traceback” atau nama berkas proyek menandakan mode debug masih aktif.

# tidak-dijalankan
# memeriksa halaman debug pada aplikasi latihan lokal yang diizinkan
curl -s http://127.0.0.1:8000/__debug/

Aplikasi contoh dan kredensial bawaan#

Banyak paket server menyertakan aplikasi contoh di dalam direktori web, misalnya halaman selamat datang, panel latihan, atau skrip pengujian. Kegunaannya dokumentatif, tetapi aplikasi contoh umumnya tidak melalui tinjauan keamanan dan hampir selalu berjalan tanpa autentikasi. Kelompok yang sama adalah kredensial bawaan, yaitu pasangan nama pengguna dan sandi pabrik seperti nama pengguna admin dengan sandi admin, yang diketahui publik dan dicoba otomatis oleh pemindai. Daftar direktori yang aktif melengkapi kelompok ini karena memaparkan nama berkas yang tidak dimaksudkan untuk publik.

Penutupan atas celah-celah tersebut berupa pekerjaan administratif yang berulang setiap kali lingkungan baru dibuat. Hapus aplikasi contoh dari server production, nonaktifkan daftar direktori, ganti atau matikan akun bawaan, lalu tinjau daftar jalur yang memberi respons. Pemeriksaan ini menjadi rutin karena lingkungan baru terus muncul, baik akibat penskalaan otomatis maupun layanan terkelola yang baru ditambahkan.

Kesalahan umum#

Kesalahan berikut sering ditemukan saat konfigurasi default ditangani.

• Membiarkan mode debug aktif “hanya sementara” pada production. Mode yang dimatikan besok sering terlupa karena tidak ada pengingatnya, sehingga pemeriksaan konfigurasi perlu menjadi bagian tetap dalam daftar rilis.
• Mematikan pesan error tanpa menyiapkan log. Pengguna menerima halaman kosong, sementara pengembang kehilangan petunjuk diagnosis. Tampilkan pesan generik kepada pengguna dan catat rinciannya ke log.
• Menyalin berkas konfigurasi pengembangan ke production. Nilai seperti debug: true ikut terbawa tanpa disadari, sehingga berkas konfigurasi sebaiknya dipisahkan per lingkungan.
• Menganggap halaman debug aman karena tidak ditautkan di mana pun. Pemindai mencoba jalur bawaan secara otomatis, sehingga halaman tanpa tautan tetap ditemukan.

Ringkasan#

• Nilai default framework dipilih untuk kemudahan pengembangan dan sering terbawa ke production, sehingga termasuk kategori A02 Security Misconfiguration pada OWASP Top 10:2025.
• Halaman debug dan pesan error yang rinci memaparkan jalur berkas, nomor baris, dan isi variabel yang memangkas kerja penyerang, sedangkan bentuk produksi yang benar menampilkan pesan generik dan menyimpan rincian di log.
• Aplikasi contoh dan kredensial bawaan dihapus atau diganti pada setiap lingkungan baru karena daftarnya diketahui publik dan dicoba secara otomatis.

Referensi#

• A02:2025 Security Misconfiguration — OWASP Top 10 — Kategori yang menempatkan miskonfigurasi keamanan pada peringkat kedua OWASP Top 10:2025.
• OWASP Top 10:2025 — OWASP Top 10 — Daftar lengkap kategori edisi 2025 beserta data pendukungnya.