Panduan OAuth 2.0 + PKCE untuk SaaS Indonesia 2026: Alur Login Aman Tanpa Rahasia di Client

Mengapa OAuth 2.0 + PKCE Wajib untuk Aplikasi SaaS Modern

OAuth 2.0 adalah kerangka otorisasi paling umum untuk memberikan akses terbatas ke API tanpa membagikan kredensial utama. Namun, pada aplikasi publik (SPA, mobile, desktop), authorization code bisa disadap jika tidak dilindungi. RFC 7636 memperkenalkan PKCE (Proof Key for Code Exchange) untuk menutup celah ini, sehingga alur Authorization Code menjadi aman untuk klien publik.

Ringkas Alur OAuth 2.0 + PKCE

1. Client membuat code_verifier (string acak panjang) dan code_challenge (hash dari code_verifier).
2. Client mengarahkan pengguna ke authorization endpoint dengan code_challenge dan metode (S256).
3. Authorization server mengembalikan authorization code.
4. Client menukar code dengan token, mengirim code_verifier sebagai bukti.
5. Server memverifikasi code_verifier cocok dengan code_challenge.

Prinsip Keamanan yang Perlu Diingat

• Jangan simpan client secret di aplikasi publik. PKCE mengganti kebutuhan secret statis.
• Gunakan S256 untuk code_challenge. Hindari metode plain.
• Redirect URI harus ketat dan terdaftar agar tidak terjadi open redirect.
• Gunakan state untuk mitigasi CSRF dan menjaga integritas flow.

Implementasi Praktis untuk Tim SaaS

1) Tentukan Tipe Client

Jika aplikasi Anda SPA atau mobile, anggap sebagai public client. Terapkan Authorization Code + PKCE, bukan implicit flow.

2) Standarisasi Endpoint

• /authorize menerima code_challenge, response_type=code, scope, dan state.
• /token menerima code_verifier untuk menukarkan code menjadi access token.

3) Terapkan Batasan Waktu

Authorization code harus berumur pendek (misalnya 1–5 menit). Semakin pendek, semakin kecil risiko disalahgunakan.

4) Audit dan Observability

Catat event login, refresh token, dan error token exchange agar mudah ditelusuri. Gunakan log terstruktur dan alert untuk anomali.

Kesalahan Umum yang Perlu Dihindari

• Menggunakan implicit flow untuk SPA.
• Redirect URI terlalu longgar atau menggunakan wildcard.
• Memakai code_challenge method plain.
• Token disimpan tanpa enkripsi di perangkat.

Checklist Implementasi

• Authorization Code Flow dengan PKCE aktif.
• S256 wajib, plain ditolak.
• Redirect URI spesifik per aplikasi.
• State dan nonce tervalidasi.
• Rotasi refresh token dan revocation siap.

Referensi Utama

Standar PKCE dijelaskan secara resmi dalam RFC 7636. OAuth 2.0 sendiri didefinisikan dalam RFC 6749, dan praktik terbaik untuk aplikasi native dirangkum pada RFC 8252. Ketiga dokumen ini adalah fondasi teknis yang relevan untuk implementasi SaaS saat ini.