Saat ini, banyak layanan digital bergantung pada web application dan API untuk menghubungkan pengguna, sistem, dan data.
Semakin bergantung pada aplikasi digital, perusahaan perlu menjaga akses dan aktivitas di dalamnya agar layanan tetap tersedia dan data tidak diakses secara tidak sah.
Web Application and API Protection (WAAP) merupakan solusi keamanan untuk mengendalikan berbagai risiko pada lingkungan aplikasi digital, seperti eksploitasi melalui SQL injection atau XSS, penyalahgunaan API, dan aktivitas bot otomatis.
Dengan demikian, WAAP dapat membantu perusahaan mengidentifikasi dan mengendalikan aktivitas berisiko sekaligus memperkuat perlindungan pada layanan digital.
Apa Itu WAAP?
WAAP (Web Application and API Protection) adalah solusi keamanan yang dirancang untuk melindungi web application dan API dari berbagai ancaman pada application layer.
WAAP menggabungkan beberapa kapabilitas keamanan, seperti Web Application Firewall (WAF), API protection, bot management, dan DDoS protection.
Menurut CIO (2023), WAAP merupakan perluasan kapabilitas WAF yang mencakup perlindungan API, bot management, dan DDoS.
Kapabilitas tersebut membantu perusahaan memblokir request berbahaya, mengendalikan aktivitas bot, dan melindungi API serta aplikasi dari berbagai aktivitas berisiko.
Baca juga: DDoS Attack: Jenis-Jenis, Cara Mencegah, dan Solusinya
Apa Perbedaan WAAP dan WAF?
WAAP (Web Application and API Protection) dan WAF (Web Application Firewall) merupakan perlindungan aplikasi pada application layer, namun cakupannya berbeda. Perbedaan keduanya dapat dilihat pada tabel ini.
| Aspek | WAF | WAAP |
| Fokus | Perlindungan web application | Perlindungan web application dan API |
| Cakupan | Malicious request dan serangan pada application layer | Application, API, bot, dan traffic berisiko |
| Kapabilitas | Web Application Firewall | WAF, API protection, bot management, dan DDoS protection |
| Penggunaan | Melindungi aplikasi web dari request berbahaya | Memberikan perlindungan yang lebih luas untuk aplikasi dan API |
Dari tabel tersebut, dapat disimpulkan bahwa WAF berfokus pada perlindungan web application berupa pemeriksaan dan pemblokiran request berbahaya, sedangkan WAAP memiliki cakupan lebih luas seperti WAF, perlindungan API, bot management, dan DDoS protection.
Ancaman yang Perlu Diwaspadai pada Web Application dan API
Web application dan API menjadi jalur akses ke layanan dan data perusahaan yang perlu dilindungi dari berbagai risiko. Beberapa risiko tersebut adalah sebagai berikut:
1. Permintaan Berbahaya terhadap Aplikasi
Penyerang dapat mengirimkan request untuk mengeksploitasi kelemahan aplikasi, seperti SQL injection atau XSS.
Jika berhasil, aktivitas tersebut dapat menyebabkan akses atau perubahan data yang tidak sah, menjalankan kode berbahaya, hingga mengganggu fungsi aplikasi.
2. API Menjadi Attack Surface
API menghubungkan aplikasi dengan sistem, layanan, dan client lain sehingga dapat menjadi target akses tidak sah atau penyalahgunaan.
API yang tidak terlindungi dengan baik dapat dimanfaatkan untuk mengakses fungsi atau data yang seharusnya tidak tersedia.
3. Automated dan Bot Activity
Bot dapat digunakan untuk menjalankan aktivitas seperti login secara massal, scraping, pembuatan akun, atau request berulang.
Aktivitas otomatis dalam jumlah besar dapat membebani aplikasi atau digunakan untuk menyalahgunakan layanan.
4. Serangan dengan Volume Traffic Tinggi
Serangan dengan traffic dalam jumlah besar dapat mengganggu ketersediaan aplikasi dan menyulitkan pengguna mengakses layanan.
Salah satu contohnya adalah DDoS, ketika sejumlah besar request dikirimkan ke layanan secara bersamaan, sehingga akses layanan menjadi lambat atau bahkan tidak dapat diakses oleh pengguna.
Baca juga: Attack Surface Management: Cara Kerja, Manfaat, dan Kapan Perusahaan Membutuhkannya
Bagaimana Serangan terhadap Web Application dan API Terjadi?
Risiko terhadap aplikasi dan API dapat berkembang melalui beberapa tahap. Secara sederhana, alurnya dapat terjadi sebagai berikut:
1. Menemukan Attack Surface
Penyerang dapat memetakan aplikasi, endpoint, atau API yang tersedia untuk mengetahui fungsi dan layanan yang dapat diakses.
Semakin banyak endpoint yang terekspos, semakin penting bagi perusahaan untuk mengetahui dan mengelola seluruh application serta API asset yang digunakan.
2. Mengirimkan Request Berbahaya
Setelah menemukan target, penyerang dapat mengirimkan request yang dirancang untuk mengeksploitasi kelemahan atau menyalahgunakan fungsi tertentu pada aplikasi.
Aktivitas tersebut dapat berupa request yang tidak wajar, percobaan akses berulang, automated requests, atau pola traffic yang berbeda dari penggunaan normal.
3. Mengeksploitasi Kelemahan atau Kontrol yang Tidak Memadai
Penyerang dapat mengeksploitasi vulnerability, konfigurasi yang tidak tepat, atau kontrol akses yang lemah pada aplikasi dan API untuk mengakses fungsi atau data yang seharusnya tidak tersedia.
Jika aktivitas tersebut tidak terdeteksi atau dibatasi, request berbahaya dapat diproses seperti request biasa dan membuka akses yang tidak semestinya.
4. Mengakses Data Sensitif
Jika serangan berhasil, pelaku dapat mengakses data seperti informasi pelanggan, data akun, atau riwayat transaksi, serta menjalankan fungsi yang bukan haknya.
Akses tersebut dapat meningkatkan risiko penyalahgunaan data, manipulasi informasi, maupun gangguan layanan.
Contoh Insiden: Kebocoran Data pada Aplikasi F&B
Tahapan serangan terhadap web application dan API yang telah dijelaskan sebelumnya dapat berujung pada akses terhadap data yang dikelola oleh aplikasi.
Salah satu contoh insiden tersebut dilaporkan oleh CNBC Indonesia (2026) terkait sebuah platform yang digunakan bisnis F&B untuk pemesanan, transaksi, dan berbagai layanan promo.
Dalam insiden tersebut, data sekitar 5,7 juta akun pelanggan dilaporkan berpotensi diakses oleh pihak yang tidak berwenang. Data yang terdampak dapat mencakup nama, email, nomor telepon, tanggal lahir, jenis kelamin, alamat, hashed PIN, hingga riwayat pembelian.
Pada saat laporan diterbitkan, belum terdapat informasi yang memastikan bagaimana akses tanpa izin tersebut terjadi. Namun, kasus ini menunjukkan pentingnya perlindungan web application dan API untuk mengurangi risiko akses tidak sah melalui pemantauan request, traffic, dan aktivitas berisiko.
Cara WAAP Melindungi Web Application dan API
WAAP menggunakan beberapa lapisan perlindungan untuk mengidentifikasi dan mengendalikan traffic serta aktivitas berisiko, sebagai berikut:
1. Memfilter Request Berbahaya dengan WAF
Web Application Firewall (WAF) memeriksa request yang masuk untuk mengidentifikasi pola serangan dan memblokir aktivitas yang memenuhi security rules.
Hal ini membantu mencegah request berbahaya mencapai aplikasi dan mengurangi risiko eksploitasi vulnerability.
2. Memantau dan Mengendalikan API
API menjadi jalur pertukaran data antara aplikasi dan sistem lain, sehingga endpoint yang tidak terkelola atau tidak digunakan lagi dapat meningkatkan risiko akses dan penyalahgunaan.
API discovery membantu menemukan active API, deprecated API, dan potential shadow API, sementara rate limiting membatasi jumlah request untuk mengurangi aktivitas berlebihan.
Dengan kontrol tersebut, perusahaan dapat menjaga API tetap terkelola dan mengurangi risiko penyalahgunaan.
3. Mengidentifikasi Aktivitas Bot
Bot management membantu membedakan traffic otomatis yang legitimate dari aktivitas yang berpotensi menyalahgunakan aplikasi.
Fitur ini membantu mencegah aktivitas seperti credential stuffing, scraping, pembuatan akun massal, atau inventory abuse yang dapat membebani atau menyalahgunakan layanan.
4. Melindungi dari DDoS
DDoS protection membantu mendeteksi dan memfilter traffic dalam jumlah besar yang ditujukan untuk mengganggu ketersediaan layanan, sehingga pengguna tetap dapat mengakses aplikasi secara normal.
Implementasi WAAP dengan Tencent EdgeOne
WAAP merupakan perlindungan untuk web application dan API dari berbagai risiko, seperti request berbahaya, aktivitas bot, penyalahgunaan API, dan serangan dengan volume traffic tinggi.
Untuk menerapkan perlindungan tersebut, IDstar menyediakan Tencent EdgeOne sebagai perlindungan web application dan API sesuai dengan kebutuhan security dan environment perusahaan.
Dengan menerapkan perlindungan ini, perusahaan dapat:
- Memperkuat keamanan aplikasi dan API dari berbagai aktivitas berisiko.
- Meningkatkan visibilitas terhadap traffic dan aktivitas pada application layer.
- Mengendalikan aktivitas berisiko secara lebih terarah.
- Menjaga ketersediaan layanan dari gangguan akibat traffic atau serangan berlebih.
- Mendukung pengelolaan keamanan yang lebih terintegrasi pada layanan digital perusahaan.
Kemitraan resmi dengan Tencent Cloud memperkuat kapabilitas IDstar dalam mendukung kebutuhan perusahaan secara menyeluruh, mulai dari asesmen hingga implementasi solusi EdgeOne dan layanan cloud.
References:
CIO. “API security: key to interoperability or key to an organization?
BrandPost.” 2023.
CNBC. “Data 5,7 Juta Pelanggan Bocor, Fore Ngadu ke Komdigi.” 2026.
Tencent EdgeOne. “DDoS and Web Protection – Overview.”
