Keamanan Hal yang Tidak Boleh Disimpan di Penyimpanan

localStorage dan sessionStorage menyimpan data tanpa enkripsi pada media penyimpanan di bawah profil pengguna. Proses apa pun yang memiliki akses ke sistem berkas—termasuk perangkat lunak berbahaya, alat pencadangan, atau pengguna lain yang sedang masuk—dapat membaca setiap nilai yang Anda simpan tanpa melalui browser.

Semua skrip yang berjalan pada asal tersebut menggunakan Storage yang sama. Serangan XSS yang berhasil, SDK pihak ketiga yang telah disusupi, atau ekstensi browser berbahaya dapat memanggil localStorage.getItem dan mengambil setiap nilai yang tersimpan. Tidak ada isolasi per skrip.

Jangan menyimpan token sesi, JWT, token penyegaran, atau kunci API di localStorage. Jika penyerang menyisipkan satu baris JavaScript saja, token tersebut langsung bocor. Gunakan cookie dengan atribut httpOnly, Secure, dan SameSite agar token tidak pernah dapat diakses dari JavaScript.

Menyimpan kata sandi dalam bentuk apa pun—teks biasa, hash, atau terenkripsi—merupakan tindakan yang keliru di sisi klien. Melakukan hashing di sisi klien tidak membantu jika penyerang dapat membaca hash tersebut dan menggunakannya kembali. Penanganan kata sandi sepenuhnya menjadi tanggung jawab server dengan hash kata sandi khusus seperti bcrypt.

PCI-DSS melarang penyimpanan nomor kartu, CVV, data pita magnetik, atau tanggal kedaluwarsa di penyimpanan sisi klien. Sebagai gantinya, gunakan penyedia pembayaran yang menggunakan token (Stripe, Braintree, Adyen) dan mengembalikan token berumur singkat yang terikat pada asal Anda.

ID pemerintah, tanggal lahir lengkap, alamat rumah, dan data medis menarik perhatian regulator (GDPR, HIPAA) serta penyerang. Simpan hanya data yang diperlukan untuk sesi saat ini, minta kembali data tersebut saat diperlukan, dan biarkan server menyimpan sumber kebenaran.

Bug XSS yang membocorkan document.cookie memang berbahaya. Bug yang sama pada halaman yang menyimpan token di localStorage akan menyerahkan semua nilai yang tersimpan kepada penyerang sekaligus. Perlakukan localStorage sebagai permukaan dengan risiko "jika satu skrip disusupi, semuanya ikut disusupi".

Mengenkripsi nilai dengan kunci yang juga berada di JavaScript tidak memberikan perlindungan nyata — penyerang yang dapat membaca teks tersandi juga dapat membaca kuncinya. Rahasia yang sebenarnya harus tetap berada di sisi server dan diterbitkan ulang, bukan disimpan secara permanen di sisi klien.

Preferensi antarmuka pengguna (tema, bilah samping yang diciutkan, bahasa), penanda fitur yang tidak sensitif, isi formulir draf, dan status sementara panduan langkah demi langkah semuanya aman. Data tersebut memang dapat dilihat pengguna, dan kebocorannya tidak memungkinkan pengambilalihan akun.

Keluarkan autentikasi melalui Set-Cookie: token=...; HttpOnly; Secure; SameSite=Strict. Penanda HttpOnly membuat cookie tidak dapat dijangkau oleh JavaScript, sehingga menetralkan sebagian besar muatan XSS pencuri token meskipun masih terdapat bug lain di halaman tersebut.

Jika Anda harus menyimpan sementara data yang tampak sensitif, batasi cakupannya dengan ketat (TTL singkat, hapus saat keluar, hapus saat tab ditutup melalui sessionStorage), terapkan Kebijakan Keamanan Konten yang ketat untuk memblokir skrip yang disisipkan, dan audit setiap skrip pihak ketiga yang berjalan di halaman terautentikasi.

Mengapa token autentikasi yang disimpan di localStorage dianggap sebagai risiko keamanan?

Web Storage berupa teks biasa, dapat dibaca skrip, dan dibagikan per asal. Jangan pernah menaruh token autentikasi, kata sandi, data pembayaran, atau informasi pribadi yang diatur regulasi di sana. Simpan rahasia dalam cookie httpOnly dan gunakan localStorage hanya untuk status antarmuka pengguna yang tidak berbahaya dan memang dapat dilihat pengguna.