Mengamankan Integrasi WhatsApp Gateway: API Key, Webhook, dan 2FA

Siapa pun yang memegang sesi WhatsApp Anda bisa mengirim pesan atas nama bisnis Anda. Itu sebabnya keamanan gateway bukan soal teknis saja, tapi juga soal reputasi.

Bagaimana pengambilalihan biasanya terjadi

• API key bocor, misalnya ter-commit ke GitHub atau ditaruh di kode frontend.
• Akun dashboard dibobol karena password lemah atau dipakai ulang.
• Webhook palsu: server Anda menerima request yang mengaku dari gateway, padahal bukan.
• Sesi WhatsApp dicuri dari server yang menyimpannya tanpa enkripsi.

Checklist di sisi Anda

API key

1. Simpan di .env server, jangan di JavaScript frontend, aplikasi HP, atau repository.
2. Buat satu key per sistem (misalnya toko dan CRM terpisah) supaya bisa dicabut sendiri-sendiri.
3. Aktifkan IP whitelist berisi IP server Anda. Key yang bocor tidak bisa dipakai dari tempat lain.
4. Beri izin seminimal mungkin. Sistem yang hanya mengirim tidak perlu izin membaca pesan masuk.
5. Cabut dan buat ulang key bila ada karyawan atau vendor yang berhenti.

Webhook

1. Gunakan URL HTTPS.
2. Selalu verifikasi tanda tangan HMAC di header X-Webhook-Signature.
3. Tolak request dengan X-Webhook-Timestamp yang terlalu lama (lebih dari 5 menit) untuk mencegah replay.
4. Gunakan X-Webhook-Id untuk mengabaikan event yang sama yang terkirim ulang.

Contoh kode verifikasinya ada di halaman API WhatsApp Laravel & PHP.

Akun dashboard

1. Aktifkan 2FA (aplikasi authenticator) dan simpan recovery code di tempat aman.
2. Gunakan password unik dari password manager.
3. Periksa Riwayat Aktivitas secara berkala: login, pembuatan API key, perubahan webhook.

Apa yang dilakukan di sisi platform

Di platform ini:

• Sesi WhatsApp dienkripsi AES-256-GCM dengan kunci unik per nomor. Kunci utama hanya ada di server engine, tidak di database, sehingga salinan database saja tidak cukup untuk membajak nomor.
• API key disimpan sebagai hash, hanya ditampilkan sekali saat dibuat.
• Aksi sensitif (membuat API key, mengubah webhook, menghapus nomor) meminta konfirmasi ulang password dan kode 2FA.
• Webhook hanya dikirim ke alamat publik. Alamat internal seperti localhost atau IP privat ditolak, dan redirect tidak diikuti.
• Admin platform tidak bisa melihat sesi WhatsApp maupun API key pelanggan.

Bila curiga ada kebocoran

1. Cabut semua API key nomor tersebut dan buat yang baru.
2. Putuskan (logout) nomor dari dashboard, lalu scan QR ulang.
3. Di HP, buka Perangkat tertaut dan keluarkan perangkat yang tidak dikenal.
4. Ganti password dan buat ulang recovery code 2FA.
5. Hubungi support lewat menu Bantuan.

Keamanan yang baik membuat integrasi WhatsApp bisa diandalkan bertahun-tahun. Lima belas menit menjalankan checklist ini jauh lebih murah daripada memulihkan nomor yang dibajak.