{"id":5215,"date":"2026-08-12T10:47:52","date_gmt":"2026-08-12T03:47:52","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5215"},"modified":"2026-08-12T10:47:52","modified_gmt":"2026-08-12T03:47:52","slug":"passwordless-login-enterprise-webauthn-implementasi","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/passwordless-login-enterprise-webauthn-implementasi\/","title":{"rendered":"Passwordless Login Enterprise: Cara Kerja & Implementasi"},"content":{"rendered":"
Jawaban singkat:<\/strong> Passwordless login enterprise adalah model autentikasi yang mengganti kata sandi dengan kunci kriptografi pada perangkat atau security key. WebAuthn menyimpan private key di hardware, memverifikasi origin situs, dan menandatangani tantangan server. Hasilnya kredensial tidak bisa dicuri lewat phishing, database bocor, atau replay, sekaligus mempercepat login harian karyawan.<\/div>\n

Kata sandi masih menjadi titik lemah terbesar di hampir semua organisasi Indonesia, termasuk di sektor teregulasi seperti perbankan, kesehatan, dan pemerintahan. Passwordless login enterprise<\/strong> menawarkan jalan keluar yang berbeda dari sekadar menambah lapisan OTP: alih-alih memperkuat rahasia yang bisa dicuri, pendekatan ini menghapus rahasia tersebut dari alur autentikasi. Standar yang memungkinkannya adalah WebAuthn, bagian dari spesifikasi FIDO2 yang kini didukung native oleh browser modern, Windows, macOS, Android, dan iOS. Artikel ini membahas cara kerjanya secara teknis, manfaat yang dapat diukur, posisi regulasi Indonesia, serta rencana implementasi bertahap yang realistis untuk organisasi berskala enterprise. Konteks strategis MFA yang tahan phishing secara menyeluruh kami bahas pada panduan lengkap MFA tahan phishing untuk enterprise dan perbankan<\/a>.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Mengapa passwordless login enterprise menjadi prioritas<\/h2>\n

Masalah kata sandi bukan pada panjangnya, melainkan pada sifatnya sebagai shared secret<\/em>. Rahasia yang diketahui pengguna dan disimpan server dapat di-phishing<\/em>, ditebak melalui credential stuffing<\/em>, dicuri lewat kebocoran database, atau dipanen oleh infostealer<\/em>. Menambahkan OTP memang menaikkan biaya serangan, tetapi OTP tetap merupakan rahasia yang bisa diteruskan korban kepada penyerang melalui halaman palsu atau proxy real-time. Perbandingan mendalam antar-metode ini kami bahas di artikel Security Key vs OTP SMS: Mana yang Tahan Phishing?<\/a>.<\/p>\n

Passwordless berbasis WebAuthn memutus rantai tersebut karena tidak ada rahasia yang berpindah tangan. Yang dikirim ke server hanyalah tanda tangan digital atas tantangan acak \u2014 informasi yang tidak berguna jika dicegat, dan tidak dapat dipakai ulang.<\/p>\n

Cara kerja WebAuthn: dua alur, satu prinsip<\/h2>\n

Registrasi (attestation)<\/h3>\n

Saat karyawan mendaftarkan security key atau platform authenticator, server (relying party<\/em>) mengirim tantangan acak beserta identitas domainnya. Authenticator membuat sepasang kunci kriptografi baru yang unik untuk domain tersebut. Private key tidak pernah meninggalkan secure element<\/strong> pada perangkat keras; hanya public key dan credential ID yang dikirim balik ke server untuk disimpan. Pada kunci bersertifikasi, server juga dapat memverifikasi attestation statement<\/em> untuk memastikan model authenticator sesuai kebijakan organisasi.<\/p>\n

Autentikasi (assertion)<\/h3>\n

Pada login berikutnya, server mengirim tantangan acak baru. Browser meneruskannya ke authenticator bersama origin<\/em> situs yang sedang diakses. Authenticator hanya bersedia menandatangani jika origin tersebut cocok dengan yang tercatat saat registrasi, lalu meminta bukti kehadiran pengguna \u2014 sentuhan pada kunci \u2014 dan, untuk mode passwordless penuh, verifikasi pengguna berupa PIN atau biometrik. Server memverifikasi tanda tangan dengan public key yang tersimpan. Tidak ada kata sandi, tidak ada kode, tidak ada yang bisa diketik ulang oleh korban di situs palsu.<\/p>\n

Mengapa phishing gagal secara struktural<\/h3>\n

Kunci pertahanannya adalah origin binding<\/em>. Domain palsu yang mirip secara visual tetap berbeda secara string bagi browser, sehingga authenticator menolak menandatangani. Perlindungan ini bersifat protokol, bukan bergantung pada kewaspadaan pengguna. Penjelasan teknis lengkap mengenai mekanisme ini tersedia di artikel FIDO2 WebAuthn: Cara Kerja & Kenapa Lebih Aman dari OTP<\/a>.<\/p>\n

Perlu dipahami perbedaan dua mode. Second-factor<\/em> menempatkan security key sebagai faktor kedua setelah kata sandi. Passwordless<\/em> sejati menggunakan discoverable credential<\/em> (resident key) plus verifikasi pengguna, sehingga kata sandi tidak lagi diminta. Banyak organisasi memulai dari mode pertama sebelum berpindah ke mode kedua.<\/p>\n

Manfaat yang dapat diukur<\/h2>\n\n\n\n\n\n\n\n\n\n\n
Dimensi<\/th>\nModel kata sandi + OTP<\/th>\nPasswordless WebAuthn<\/th>\n<\/tr>\n<\/thead>\n
Ketahanan phishing<\/td>\nBergantung kewaspadaan pengguna; rentan proxy real-time<\/td>\nDitegakkan protokol melalui origin binding<\/td>\n<\/tr>\n
Dampak kebocoran database<\/td>\nHash kata sandi dapat di-crack offline<\/td>\nHanya public key yang tersimpan; tidak bernilai bagi penyerang<\/td>\n<\/tr>\n
Beban service desk<\/td>\nReset kata sandi dan unlock akun rutin<\/td>\nTurun signifikan; sisa beban pada pendaftaran ulang kunci<\/td>\n<\/tr>\n
Waktu login harian<\/td>\nKetik sandi + tunggu dan salin OTP<\/td>\nSatu sentuhan atau PIN singkat<\/td>\n<\/tr>\n
Ketergantungan jaringan<\/td>\nPerlu sinyal seluler untuk SMS<\/td>\nBekerja offline dan di area terbatas sinyal<\/td>\n<\/tr>\n
Jejak audit<\/td>\nBukti kepemilikan faktor lemah<\/td>\nTanda tangan kriptografis per sesi, dapat diverifikasi<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Posisi regulasi Indonesia<\/h2>\n

Penting dinyatakan dengan jujur: tidak ada regulasi Indonesia yang mewajibkan FIDO2 atau melarang OTP SMS.<\/strong> Yang ada adalah kewajiban hasil \u2014 melindungi sistem dan data \u2014 yang penerapan teknisnya diserahkan pada penilaian risiko masing-masing organisasi. Beberapa rujukan yang relevan:<\/p>\n

    \n
  • UU 27\/2022 tentang Pelindungan Data Pribadi<\/strong> mewajibkan pengendali data pribadi melindungi data dari akses dan pemrosesan yang tidak sah, serta memberitahukan kegagalan pelindungan paling lambat 3×24 jam. Autentikasi tahan phishing merupakan kontrol yang wajar untuk memenuhi kewajiban tersebut.<\/li>\n
  • PP 71\/2019 tentang PSTE<\/strong> mewajibkan penyelenggara sistem elektronik menyelenggarakan sistem yang andal, aman, dan bertanggung jawab, termasuk pengamanan terhadap akses tidak sah.<\/li>\n
  • UU ITE (UU 11\/2008 jo. UU 19\/2016)<\/strong> menempatkan akses tanpa hak ke sistem elektronik sebagai perbuatan yang dilarang, sekaligus menegaskan tanggung jawab penyelenggara atas keandalan sistemnya.<\/li>\n
  • POJK 11\/POJK.03\/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum<\/strong> mensyaratkan manajemen akses dan pengendalian autentikasi yang proporsional terhadap risiko, tanpa menunjuk teknologi tertentu. Security key umumnya masuk kategori kontrol kuat untuk akses istimewa.<\/li>\n
  • Permenkes 24\/2022 tentang Rekam Medis<\/strong> mewajibkan fasilitas pelayanan kesehatan menjaga keamanan, kerahasiaan, dan integritas rekam medis elektronik, termasuk pengaturan hak akses pengguna.<\/li>\n
  • Sebagai rujukan teknis internasional, NIST SP 800-63B<\/strong> mensyaratkan authenticator tahan phishing untuk tingkat jaminan tertinggi, dan varian YubiKey seri FIPS tersedia dengan validasi FIPS 140-3<\/strong> bagi organisasi yang mensyaratkannya dalam pengadaan.<\/li>\n<\/ul>\n

    Langkah implementasi bertahap<\/h2>\n