Free Scan URL: Cek Aplikasi AI Buatan Anda Tanpa Install

Dalam satu akhir pekan, seseorang bisa membangun aplikasi AI lengkap — chat, unggah dokumen, login, dashboard — lalu menekan deploy dan membagikan tautannya. Yang belum tentu ikut selesai adalah hal-hal yang biasanya tertinggal: kunci API yang ikut terkirim ke browser, .env yang masih bisa diunduh, source map yang membuka seluruh kode asli, dan header keamanan yang tidak pernah dipasang.

Masalahnya, kebanyakan orang tidak tahu ke mana harus melihat. Karena itu AISG sekarang membuka free scan URL: tempelkan alamat aplikasi Anda, buktikan domain itu milik Anda, dan dalam hitungan detik Anda menerima daftar indikasi beserta kenapa hal itu bisa terjadi dan apa yang harus diubah. Tanpa install, tanpa kartu kredit, tanpa perlu akun.

Kenapa memindai URL dulu, bukan kode?

Scan kode melihat isi source code. Scan URL melihat apa yang benar-benar terbuka di internet hari ini — yaitu dua hal yang tidak sama. Banyak kebocoran justru lahir saat proses build dan deploy:

• Nilai rahasia yang di-inline ke dalam bundle saat build (bukan di file repo)
• .map yang ikut dipublikasikan sehingga source asli bisa direkonstruksi
• File .env yang ikut ter-upload ke folder publik
• Header keamanan, cookie, dan CORS yang ditentukan oleh konfigurasi server, bukan kode

Alasan kedua lebih sederhana: URL scan butuh nol persiapan. Saat Anda ingin jawaban cepat “apakah ada yang menganga di aplikasi saya?”, scan URL adalah langkah paling murah.

Delapan hal yang diperiksa

Free scan ini hanya memeriksa permukaan publik. Semuanya read-only: tidak ada pemaksaan otentikasi, tidak ada percobaan eksploitasi, tidak ada payload berbahaya.

1. TLS dan pengalihan. Sertifikat valid, tanggal kedaluwarsa, HTTP yang tidak dialihkan ke HTTPS.
2. Header keamanan. HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
3. Atribut cookie. Cookie sesi tanpa Secure, HttpOnly, atau SameSite.
4. CORS. Server yang membalas Access-Control-Allow-Origin: * — terutama jika digabung dengan credentials.
5. File yang tidak boleh publik. /.env, /.git/HEAD, /.git/config yang masih bisa diunduh.
6. Rahasia di aset JavaScript. Pola kunci OpenAI, Anthropic, Stripe, AWS, GitHub, Slack, Google, dan blok private key.
7. Rahasia inline di HTML + source map. Kunci yang ditulis langsung di halaman, dan sourceMappingURL yang masih bisa diakses.
8. DNS email. Record SPF yang menentukan mudah-tidaknya domain Anda dipalsukan untuk mengirim email.

Cara memakainya (tiga langkah)

1. Buka bagian Free scan di halaman utama, tempelkan URL aplikasi Anda, isi email, dan centang pernyataan bahwa domain itu milik Anda.
2. Anda menerima satu berkas kecil untuk dipublikasikan (misalnya /.well-known/aisg-free-<token>.txt) atau satu record DNS TXT. Ini pembuktian kepemilikan — AISG tidak akan memindai domain orang lain.
3. Tekan Verify. Pemindaian berjalan paling lama 45 detik, lalu hasilnya muncul di halaman itu juga, lengkap dengan tombol unduh laporan PDF.

Batas yang kami sebut di depan

Bagian ini biasanya disembunyikan di halaman pemasaran. Kami menaruhnya di depan karena ini yang menentukan apakah hasilnya bisa Anda percaya:

• Hasil kosong bukan jaminan aman. Tidak ada temuan berarti tidak ada indikasi pada delapan pemeriksaan itu — bukan berarti aplikasi Anda aman.
• Tidak ada uji logika bisnis. Otorisasi yang salah, IDOR, atau alur pembayaran yang bisa diakali tidak akan terlihat oleh scan permukaan.
• Tidak ada area terautentikasi. Halaman di balik login tidak diperiksa.
• Laporan menyebut apa yang gagal diperiksa. Jika satu pemeriksaan tidak selesai, hal itu ditulis eksplisit sebagai coverage gap, bukan dianggap bersih.
• Semua temuan berstatus indikasi. Belum ada manusia yang memverifikasi. Anda yang memutuskan mana yang nyata.
• Kuota. Maksimum dua pemindaian gratis per alamat IP, dan satu rescan dalam tujuh hari supaya Anda bisa membuktikan perbaikan.

Contoh temuan yang benar-benar muncul

Untuk memastikan alat ini tidak sekadar “selalu hijau”, kami memasang halaman uji di domain sendiri yang sengaja dibuat bocor. Hasilnya dua temuan:

• Critical — API key di dalam aset klien. Kunci palsu yang ditulis langsung di HTML, dengan nilai disamarkan di laporan, plus saran: pindahkan ke server, rotasi kunci, jangan pernah menaruhnya di bundle klien.
• High — source map dipublikasikan. Berkas .map masih bisa diunduh, artinya source asli bisa direkonstruksi dari browser.

Dua hal seperti ini sering luput bukan karena developer tidak peduli, tapi karena tidak ada yang memberi tahu bahwa hal itu bisa terjadi.

Setelah dapat hasil, lakukan ini

1. Perbaiki yang paling berat dulu: rahasia yang bocor berarti kunci harus dirotasi, bukan hanya dihapus dari file.
2. Deploy ulang perbaikannya.
3. Jalankan rescan (gratis satu kali dalam tujuh hari). Inilah bukti bahwa yang bocor sudah benar-benar hilang — bukan sekadar janji “sudah saya perbaiki”.

Kalau Anda ingin memeriksa akar masalahnya di kode — dependency yang rentan, pola berbahaya, rahasia yang ter-commit di riwayat git — langkah berikutnya adalah scan lokal dengan worker AISG. Di sana kode Anda tidak pernah meninggalkan komputer Anda; yang dikirim hanya temuan.

Kesimpulan

Aplikasi yang dibangun cepat dengan bantuan AI tetap layak diperiksa sebelum dipakai orang lain. Free scan URL bukan pengganti pentest dan bukan sertifikat keamanan; ia adalah pemeriksaan awal yang murah, cepat, dan jujur tentang batasnya — cukup untuk menangkap kebocoran yang paling sering terjadi pada aplikasi yang baru naik ke produksi.

Mulai dari sini: free scan URL, atau buat akun Community gratis untuk scan lokal.