METHODOLOGY

Setiap status harus menjelaskan bukti dan batasannya.

IndoAsia Teknologi tidak memakai skor keamanan tunggal sebagai pengganti penalaran. Kami memisahkan observasi teknis, interpretasi risiko, dan tindakan yang disarankan.

Status

• PASS — kondisi yang diperiksa memenuhi baseline yang dijelaskan.
• WARN — kondisi valid tetapi belum kuat, masih monitoring, atau punya trade-off.
• FAIL — baseline yang diperiksa tidak terpenuhi.
• UNKNOWN — data tidak cukup, permission tidak ada, atau pemeriksaan tidak dapat dilakukan dengan metode yang dipakai.
• NOT APPLICABLE — check memang tidak relevan untuk konfigurasi tersebut.

Prinsip pemeriksaan

1. Passive first. Utamakan DNS publik, header, metadata, dan sinyal yang tidak invasif.
2. Explain the evidence. Hasil harus menyebut apa yang diamati, bukan hanya ikon warna.
3. No secret collection. Jangan meminta password, private key, recovery code, session cookie, atau token.
4. Local when possible. Parsing data sensitif seperti email header dibuat lokal di browser bila tidak perlu server.
5. Separate monitoring from enforcement. DMARC p=none, HSTS, DNSSEC, WAF, dan kebijakan ketat harus dibedakan antara observasi dan perubahan produksi.
6. Do not overclaim. PASS pada satu mekanisme bukan jaminan sistem secara keseluruhan aman.

Kenapa kami menghindari “security score 92/100”

Skor agregat sering menyembunyikan konteks. Domain tanpa HSTS bisa punya risiko berbeda dari domain dengan DMARC p=none, dan keduanya tidak bisa selalu dibandingkan sebagai angka sederhana. Kami lebih memilih matriks kontrol yang dapat dibaca satu per satu.

Batasan

Informasi publik tidak dapat membuktikan kondisi internal provider, kompromi endpoint, malware lokal, atau akses admin yang tidak tercatat. Tool publik di situs ini bersifat edukasi dan triage defensif, bukan audit kepatuhan atau penetration test.