🔐 Security Policy
Keamanan adalah prioritas utama dalam setiap sistem FARxTEAM. Dokumen ini menjelaskan kebijakan keamanan yang wajib diterapkan.
🛡️ Authentication Policy
Standar authentication:
- Token-based authentication (JWT / session)
- Expiration wajib diterapkan
- Refresh token strategy jelas
- Token diverifikasi di setiap request
Dilarang:
- Hardcoded token
- Token tanpa expiration
🔑 Authorization Policy
Menggunakan Role-Based Access Control (RBAC).
Setiap endpoint harus:
- Memverifikasi role
- Memastikan permission sesuai
- Tidak bergantung pada validasi frontend
Role minimal:
- Super Admin
- Admin
- User
🧼 Input Validation & Sanitization
Semua input dari client dianggap tidak terpercaya.
Wajib:
- Schema validation di API layer
- Sanitasi string input
- Validasi tipe data
- Batas panjang input
🔒 Secret Management
- Tidak ada credential dalam repository
- Semua secret disimpan di environment variables
- Production secret berbeda dari development
- Akses secret dibatasi
🌐 Network Security
- HTTPS wajib
- CORS dikonfigurasi secara eksplisit
- Rate limiting diterapkan
- Header security diaktifkan
🧾 Logging & Audit Trail
Logging wajib mencakup:
- Login activity
- Admin action
- Critical data change
Log tidak boleh mengandung:
- Password
- Token aktif
- Data sensitif mentah