---
title: Keamanan
url: https://rone.dev/id/security
description: "Cara melaporkan kerentanan pada layanan yang RoneAI operasikan: cakupan, isi laporan, apa yang terjadi setelahnya, dan ketentuan safe harbour untuk riset beritikad baik."
language: id-ID
updated: 2026-09-04
translations:
  en: https://rone.dev/security
---

# Melaporkan kerentanan.

_Keamanan_

Kalau Anda menemukan masalah keamanan pada apa pun yang kami operasikan, halaman ini menjelaskan ke mana laporannya dikirim, apa yang terjadi setelahnya, dan apa yang tidak akan kami lakukan terhadap Anda karena sudah memeriksanya.

**Laporkan ke:** [founder@rone.dev](mailto:founder@rone.dev)  
Dikonfirmasi dalam 72 jam. Mohon jangan membuka isu publik untuk masalah keamanan.

## Yang termasuk cakupan

Ini host yang kami operasikan dan memang bisa kami perbaiki.

| Host                       | Apa itu                                                |
| -------------------------- | ------------------------------------------------------ |
| `rone.dev`                 | Situs ini, termasuk formulir kontaknya                 |
| `arena.rone.dev`           | Rone Arena API, dokumentasi dan playground-nya         |
| `arena-academy.rone.dev`   | Arena Academy                                          |
| `arena-card.rone.dev`      | Arena Card, termasuk alur masuknya                     |
| `spacex-api.rone.dev`      | SpaceX API                                             |
| `wilayah.rone.dev`         | Wilayah Indonesia API                                  |
| `pddikti.fastapicloud.dev` | Sivitas API                                            |
| `igstats.rone.dev`         | igstats                                                |
| `follow-dragon.rone.dev`   | Follow Dragon                                          |
| `github.com/ridwaanhall`   | Kode sumber proyek mana pun yang terbit atas nama kami |

## Yang tidak

* Layanan hulu yang dibaca oleh proyek-proyek kami. Kami tidak memilikinya, tidak bisa memperbaikinya, dan tidak akan meneruskan laporan tentangnya atas nama Anda — laporkan langsung ke pemiliknya.
* Temuan yang mensyaratkan perangkat yang sudah disusupi, ekstensi peramban berbahaya, atau akses fisik.
* Header pengerasan yang tidak ada, flag cookie pada cookie yang tidak kami pasang, atau keluaran pemindai tanpa dampak yang bisa ditunjukkan.
* Pembatasan laju pada formulir kontak. Lihat batasan yang kami ketahui di bawah — Anda tidak perlu melaporkannya.
* Denial of service, membanjiri lalu lintas, dan uji beban. Ini dilarang, bukan sekadar di luar cakupan.

## Yang perlu disertakan

* Apa masalahnya, dalam satu atau dua kalimat.
* Langkah persis untuk mereproduksinya, termasuk permintaan atau payload yang dipakai.
* Host-nya dan, bila relevan, versi atau commit-nya.
* Apa yang sebenarnya bisa dilakukan penyerang dengan itu.
* Apakah Anda ingin dicantumkan namanya, dan nama mana yang dipakai.

## Apa yang terjadi berikutnya

* Kami mengonfirmasi dalam 72 jam. Itu komitmen yang sama dengan yang tertulis di SECURITY.md pada repositori kami.
* Anda diberi tahu apa yang kami temukan dan apa yang akan kami lakukan, termasuk kalau jawabannya adalah kami tidak akan memperbaikinya.
* Perbaikan dirilis begitu siap. Tidak ada jendela pengungkapan yang tetap karena proyeknya cukup kecil sehingga jawaban jujurnya adalah "cepat, atau kami akan menjelaskan kenapa tidak".
* Kalau Anda ingin namanya dicantumkan, akan dicantumkan. Kalau Anda memilih anonim, itu juga tidak masalah.

## Safe harbour

Riset yang dilakukan dalam batas-batas ini kami izinkan, dan kami tidak akan menempuh atau mendukung tindakan hukum apa pun terhadap Anda karenanya. Tetaplah di dalam batas itu.

* Uji hanya pada host yang terdaftar di atas, dan hanya dengan akun serta data milik Anda sendiri.
* Berhenti begitu Anda berhasil menunjukkan masalahnya ada. Jangan membaca, menyalin, mengubah, atau menyimpan data orang lain.
* Tidak ada denial of service, tidak ada pemindaian otomatis yang menurunkan kualitas layanan, tidak ada spam, dan tidak ada rekayasa sosial terhadap siapa pun.
* Beri kami kesempatan yang wajar untuk memperbaikinya sebelum memberi tahu orang lain.

## Imbalan

Tidak ada bug bounty dan tidak ada pembayaran. Ini usaha mikro, dan menawarkan imbalan yang belum tentu bisa kami penuhi hanya akan membuang waktu Anda. Yang bisa kami tawarkan adalah balasan cepat dari manusia dan pencantuman nama secara publik.

## Batasan yang kami ketahui

Dipublikasikan supaya tidak ada yang menghabiskan satu sore menemukan ulang sesuatu yang sudah kami ketahui dan sudah kami putuskan.

### Pembatas laju formulir kontak bukan batas keamanan

Ia berjalan di memori dalam satu instans server, jadi tiap isolate menyimpan penghitungnya sendiri dan setiap restart mengulangnya dari nol. Cukup untuk menumpulkan skrip sederhana, tidak lebih. Cloudflare Turnstile-lah gerbang sebenarnya pada formulir itu, dan hal ini tertulis di dalam kodenya, bukan sekadar diasumsikan sudah dipahami.

### Beberapa proyek sengaja tetap bekerja saat dihalangi sumber hulu

Sebagian API kami menampilkan identitas peramban yang konsisten kepada sumber yang mereka baca, karena sumber tersebut menolak lalu lintas dari pusat data secara langsung. Itu keputusan desain tentang membaca data publik, bukan upaya menembus autentikasi, dan tidak ada kredensial maupun kendali akses yang dilewati di dalamnya.

## security.txt

Detail kontak yang bisa dibaca mesin dipublikasikan di [/.well-known/security.txt](https://rone.dev/.well-known/security.txt) sesuai RFC 9116. Berkas itu kedaluwarsa pada 4 September 2027; tanggal yang sama ditampilkan di sini supaya keterlambatannya terlihat di halaman, bukan hanya di dalam berkas yang tak pernah dibuka.