Kenapa Kami Minta PIN Lagi Padahal Kamu Sudah Login — Cerita di Balik Sudo Mode

Ada satu keluhan yang cukup sering kami dengar di awal: "Saya sudah login, kenapa harus masukin PIN lagi cuma buat buka pengaturan?"

Pertanyaan yang wajar. Di hampir semua software bisnis, sekali login artinya kamu bisa ke mana saja sampai logout. Kami sengaja nggak mengikuti pola itu, dan alasannya berhubungan dengan satu hal yang membedakan tablet kasir dari laptop kantor: tablet kasir hampir nggak pernah dipakai satu orang saja.

Kenapa Keamanan di Tablet Kasir Beda

Pikirkan bagaimana tablet kasir dipakai sepanjang hari. Tablet itu nyala dari pagi sampai tutup. Berdiri di meja yang bisa dijangkau siapa saja yang berdiri di belakang konter. Dipakai bergantian oleh kasir yang berbeda tiap shift. Kadang ditinggal beberapa menit waktu orangnya bantu di dapur atau nganterin pesanan.

Sekarang bandingkan dengan laptop pribadi. Satu pemilik, ditutup waktu ditinggal, ada password layar, dan biasanya berada di ruangan yang nggak diakses pelanggan.

Model keamanan "sekali login, bebas selamanya" dibuat untuk kondisi yang kedua. Diterapkan di kondisi pertama, artinya: siapa pun yang berdiri di depan tablet yang belum di-logout punya akses penuh ke pengaturan bisnis kamu — termasuk mengubah harga menu, melihat laporan omzet, mengelola akun staf, dan mengakses pengaturan langganan.

Bukan berarti staf kamu nggak bisa dipercaya. Sebagian besar bisa. Tapi keamanan yang baik itu soal mengurangi kesempatan, bukan menilai orang. Dan tablet yang ditinggal nyala selama tiga menit itu kesempatan yang nggak perlu ada.

Keputusan yang Kami Ambil

Kami memisahkan dua hal yang di software lain sering dianggap satu: siapa kamu dan apakah kamu ada di sini sekarang.

Login menjawab pertanyaan pertama. Sudo mode menjawab pertanyaan kedua.

Cara kerjanya: halaman operasional POS — ambil pesanan, terima pembayaran, cetak struk — nggak diganggu sama sekali. Yang dijaga adalah halaman administratif: pengaturan dan manajemen. Sebelum masuk ke sana, kamu perlu memasukkan PIN manager sekali lagi, meski sesi login kamu masih aktif.

Sesudah itu kamu punya jendela waktu untuk bekerja bebas. Defaultnya 15 menit, dan bisa diatur tiap bisnis antara 1 sampai 240 menit lewat pengaturan. Kafe yang tabletnya selalu di area tertutup mungkin nyaman dengan 60 menit. Kafe yang tabletnya di konter terbuka mungkin memilih 5 menit.

Detail yang Bikin Fitur Ini Nggak Menyiksa

Awalnya kami khawatir fitur ini bakal terasa mengganggu. Yang menyelamatkannya adalah satu keputusan teknis: jendela waktunya bergeser, bukan hitung mundur mati.

Setiap kali kamu membuka halaman admin lagi, hitungannya di-reset dari nol. Jadi selama kamu aktif mengerjakan sesuatu — mengubah sepuluh harga menu, menambah tiga staf baru — kamu nggak akan pernah dilempar keluar di tengah pekerjaan. Batas 15 menit itu bukan "15 menit sejak masuk", tapi "15 menit sejak aktivitas terakhir".

Bedanya besar sekali dalam pemakaian sehari-hari. Timer mati akan mengunci kamu di tengah mengetik. Timer bergeser hanya mengunci tablet yang beneran ditinggal.

Satu detail lagi: kalau kamu baru saja login, kamu langsung dapat jendela itu tanpa diminta PIN dua kali. Meminta kredensial dua kali dalam sepuluh detik itu bukan keamanan, itu cuma bikin orang kesal — dan orang yang kesal akan mencari cara memperpendek prosedur, yang justru memperburuk keamanan.

Sisi Lain: Kenapa Kami Bikin Perangkat Bisa Dipercaya

Prinsip yang sama kami pakai untuk 2FA, tapi dari arah sebaliknya.

Kalau kamu mengaktifkan autentikasi dua faktor, kamu bisa menandai satu perangkat sebagai dipercaya dan melewati kode 2FA di perangkat itu selama 30 hari. Kelihatannya seperti mengendurkan keamanan, tapi tujuannya justru sebaliknya: 2FA yang meminta kode setiap kali login di tablet yang sama akan membuat orang mematikan 2FA sepenuhnya. Keamanan yang dimatikan itu nilainya nol.

Satu keputusan yang layak dijelaskan: status perangkat dipercaya bertahan melewati logout. Ini terlihat aneh sampai kamu memikirkan tablet bersama. Manager logout di akhir shift supaya kasir berikutnya nggak masuk ke akunnya — tapi tablet itu tetap tablet yang sama, di tempat yang sama. Memaksa kode 2FA baru setiap kali seseorang logout akan menghukum kebiasaan yang justru kita ingin dorong.

Kepercayaan itu berakhir dengan tiga cara: habis masa 30 harinya, kamu mencabutnya sendiri dari halaman perangkat di pengaturan akun, atau kamu mematikan 2FA — yang otomatis menghapus seluruh perangkat terpercaya kamu.

Cara Kami Menyimpan Token Perangkat

Bagian ini teknis, tapi kami pikir layak dijelaskan terbuka karena menyangkut data kamu.

Waktu sebuah perangkat ditandai dipercaya, kami membuat token acak dan menyimpannya di cookie browser kamu. Yang kami simpan di database bukan token itu, tapi hasil hash SHA-256 dari token tersebut.

Polanya sama dengan cara password disimpan dengan benar. Artinya kalau seseorang berhasil membaca isi database kami, mereka tetap nggak bisa membuat cookie perangkat terpercaya yang valid — karena yang ada di database cuma sidik jari token, bukan tokennya. Verifikasi berjalan satu arah: cookie masuk, di-hash, dibandingkan dengan yang tersimpan.

Kami juga menyimpan label perangkat dan waktu terakhir dipakai, supaya di halaman perangkat terpercaya kamu bisa melihat daftar yang bisa dikenali dan mencabut yang nggak kamu kenal.

Apa yang Kami Pelajari

Pelajaran terbesarnya: keamanan yang bikin repot akan dimatikan penggunanya, dan keamanan yang dimatikan nggak melindungi apa-apa. Setiap kali kami memperketat sesuatu, pertanyaan berikutnya harus selalu "apakah orang akan mencari jalan pintasnya?" Kalau jawabannya iya, rancangannya belum benar.

Itu sebabnya sudo mode punya jendela bergeser bukan timer mati, TTL-nya bisa diatur tiap bisnis bukan angka mati dari kami, login baru tidak diminta PIN dua kali, dan perangkat bisa ditandai dipercaya. Semuanya adalah usaha menempatkan gesekan hanya di tempat yang benar-benar berguna.

Kami juga belajar bahwa pemilik bisnis biasanya lebih ketat dari dugaan kami begitu mereka mengerti alasannya. Waktu awal kami memakai 15 menit sebagai satu-satunya pilihan, sebagian pengguna justru minta bisa lebih pendek — bukan lebih panjang. Itu alasan TTL-nya sekarang bisa diatur, dan kenapa kami memilih menjelaskan cara kerjanya di sini daripada menyembunyikannya di balik kalimat "kami menjaga keamanan data kamu".