# Catatan verifikasi keamanan aplikasi

Sumber diperiksa. Metode: https://kompli.id/metodologi/.

Hubungkan persyaratan keamanan dengan kasus yang benar-benar dijalankan dan buktinya. Catat bagian yang belum diperiksa agar satu hasil tes tidak dianggap mewakili seluruh aplikasi.

URL kanonis: https://kompli.id/template/catatan-verifikasi-keamanan-aplikasi/
Sumber diakses: 2026-10-01
Diperbarui: 2026-10-02
Penulis: Kompli
Sumber diperiksa: 2026-10-02

## Gunakan satu catatan per kasus

Isi setelah menetapkan lingkup dan harapan melalui [rencana ASVS](/panduan/owasp/rencana-verifikasi-asvs/) atau rencana mobile. Satu persyaratan dapat memiliki beberapa kasus; satu catatan bukan bukti pemenuhan seluruh standar.

Matriks [pengujian hak akses](/template/pengujian-hak-akses-aplikasi/) membantu memilih kombinasi peran, objek dan tindakan. Lembar ini mencatat versi rujukan, pelaksanaan, bukti serta batas untuk tiap kasus yang dipilih, termasuk pemeriksaan selain akses.

## Contoh terisi dengan data buatan

Contoh berikut merujuk hasil fixture lokal Kompli 1.0, bukan laporan pelanggan. Data dan identitas A/B sepenuhnya buatan.

| Catatan | Isian contoh |
| --- | --- |
| Kasus / rujukan | AK-02, ASVS 5.0.0, `v5.0.0-8.2.2`. |
| Objek / kondisi | Node 24.21.0, server loopback; identitas buatan A meminta laporan B. |
| Harapan / langkah | Jalankan permintaan baca; 403 tanpa `REPORT_B_DEMO`. Jalankan A → A sebagai kontrol positif. |
| Hasil awal | Build bad: 200 dan laporan B terbuka; gagal. |
| Perbaikan / retest | Build fixed memeriksa pemilik objek: A → B mendapat 403 tanpa data B; A → A tetap 200. |
| Bukti / batas | `observed-asvs.json` pada paket lab; satu endpoint baca, autentikasi nyata dan endpoint lain belum diperiksa. |

Source, hasil dan petunjuk ada di [paket lab verifikasi](/unduhan/lab-verifikasi-aplikasi-v1.zip). Unduhan **lembar kosong** pada halaman ini tidak berisi contoh terisi tersebut.

## Periksa sebelum menutup hasil

Pastikan bukti menunjukkan kondisi yang diperiksa dan build yang benar. Jangan menandai lulus hanya karena tidak ada pesan error; bandingkan perilaku dengan harapan dan periksa isi/efek sampingnya. Jika alat tidak bisa mengakses lokasi tertentu, catat keterbatasan itu.

Simpan bukti di lokasi yang aksesnya dibatasi, dengan masa simpan sesuai kebutuhan. Lembar cukup memuat referensi; hindari kata sandi, token, private key dan data pelanggan. Retest memakai versi perbaikan dan menjaga bukti awal tetap tersedia.

Untuk contoh mobile, lanjutkan ke [penyimpanan](/panduan/keamanan/pemeriksaan-penyimpanan-mobile/) dan [jaringan](/panduan/keamanan/pemeriksaan-jaringan-mobile/). Status “memenuhi harapan kasus” berlaku pada kondisi yang dicatat; tidak menyatakan aplikasi bebas dari semua kerentanan.

## Pakai lembar yang sama untuk alur tambahan

[Lab keamanan aplikasi 1.0](/unduhan/lab-keamanan-aplikasi-v1.zip) menyimpan hasil passkey, transaksi, GraphQL, sesi/karantina dan iOS. Gunakan satu catatan untuk satu kasus, lengkap dengan batas. Contoh iOS di simulator tidak menjadi bukti perangkat fisik; model persetujuan recovery tidak membuktikan identitas manusia.

Buka [rencana ASVS beberapa alur](/panduan/owasp/rencana-verifikasi-asvs/#contoh-tambahan-beberapa-alur-dalam-satu-rencana) untuk pemetaan ID/versi serta pekerjaan yang belum diperiksa. Struktur dan unduhan lembar kosong tetap sama; hasil pengujian berada dalam paket lab terpisah.

Versi template: 1.0

## Lembar kosong

| Kolom dan petunjuk | Isian Anda |
| --- | --- |
| **Identitas kasus dan rujukan** — ID internal, nama/versi standar, ID persyaratan atau metode dan tanggal snapshot bila sumber berkembang terus. | |
| **Objek dan versi build** — Aplikasi, endpoint/fitur, platform, build/hash serta lingkungan yang diizinkan. | |
| **Kondisi awal** — Akun/peran buatan, pemilik data, konfigurasi, perangkat/API dan persiapan; jangan menulis kredensial. | |
| **Langkah dan metode** — Tindakan yang dijalankan, pemeriksaan source/konfigurasi atau runtime, input buatan dan cara membaca hasil. | |
| **Hasil yang diharapkan** — Perilaku yang harus muncul/tidak muncul, isi respons, keadaan data serta kontrol positif. | |
| **Hasil aktual dan status** — Respons/keadaan nyata; memenuhi harapan kasus, gagal, belum diperiksa atau tidak berlaku beserta alasan. | |
| **Bukti dan batas** — Lokasi terkendali, waktu, versi, keluaran yang disamarkan serta platform/alur yang belum diperiksa. | |
| **Perbaikan dan uji ulang** — Pemilik, versi perbaikan, tanggal, hasil retest dan kasus regresi; simpan bukti lama. | |

[Unduh versi kosong (.md)](https://kompli.id/unduhan/catatan-verifikasi-keamanan-aplikasi.md) · [Unduh lembar kosong (.csv)](https://kompli.id/unduhan/catatan-verifikasi-keamanan-aplikasi.csv)

## Sumber rujukan

- [OWASP Application Security Verification Standard](https://owasp.org/projects/asvs) — Referensi persyaratan bersama versi; format lembar ini orisinal Kompli.
- [OWASP MASTG-TEST-0207 — data tidak terenkripsi pada penyimpanan aplikasi Android](https://mas.owasp.org/MASTG/tests/android/MASVS-STORAGE/MASTG-TEST-0207/) — Langkah, pengamatan dan evaluasi pada lingkungan yang dicatat; bukan bukti seluruh MASTG telah dilakukan.

## Perlu membahas kebutuhan tim Anda?

Ceritakan sistem yang dikelola dan kebutuhan pengamanan tim Anda.

[Konsultasikan kebutuhan Anda](https://kompli.id/konsultasi/?topik=keamanan)

## Bacaan terkait

- [Menyusun rencana verifikasi keamanan aplikasi dengan ASVS](https://kompli.id/panduan/owasp/rencana-verifikasi-asvs/)
- [Memeriksa penyimpanan data aplikasi mobile](https://kompli.id/panduan/keamanan/pemeriksaan-penyimpanan-mobile/)
- [Memeriksa komunikasi jaringan aplikasi mobile](https://kompli.id/panduan/keamanan/pemeriksaan-jaringan-mobile/)
- [Template matriks pengujian hak akses aplikasi](https://kompli.id/template/pengujian-hak-akses-aplikasi/)