Privasi akun
- Data minimal. Pendaftaran cukup dengan nama dan email. Tidak ada KTP, nomor HP, atau alamat.
- Password di-hash. Disimpan dengan bcrypt cost 12, tidak dalam plaintext.
- JWT cookie httpOnly. Session token disimpan di cookie httpOnly, tidak bisa diakses JavaScript.
- Reset password via email. Token sekali pakai dengan masa aktif terbatas, tidak bisa ditebak.
- Tidak ada log SMS. SMS OTP yang sudah lewat masa aktivasi tidak disimpan permanen di server.
Keamanan pembayaran
- Payment gateway resmi. PayGate adalah payment gateway bersertifikasi PCI-DSS.
- Tidak ada data kartu di server kami. Semua transaksi diproses langsung di payment gateway.
- Konfirmasi via webhook. Status top up diverifikasi lewat webhook callback yang sudah tervalidasi signature-nya.
- Idempotent order. Top up duplikat tidak akan membuat dua transaksi di saldo.
Keamanan aktivasi nokos
- Idempotency key. Setiap permintaan beli nokos disertai key unik untuk mencegah double-charge saat double-click atau retry.
- FOR UPDATE lock. Saldo kamu di-lock selama transaksi, jadi tidak bisa ter-debit dua kali akibat race condition.
- Validasi harga server. Harga final diverifikasi ulang di server sebelum aktivasi, tidak bisa dimanipulasi dari client.
- Auto-cancel 20 menit. Aktivasi yang tidak selesai akan otomatis refund ke saldo.
Anti-fraud & anti-spam
- Rate limit per endpoint. Endpoint sensitif (login, register, buy) dibatasi 5-10 request per menit per user.
- Cloudflare Turnstile. CAPTCHA bot protection pada login, register, dan forgot-password.
- Maintenance mode. Admin bisa aktifkan mode maintenance untuk freeze customer saat incident.
- Auto-ban detection. Pola penggunaan abnormal ditandai lewat fraud detection.
Yang harus kamu hindari
Nokosin.id adalah aggregator resmi dari multi-channel upstream yang sudah beroperasi bertahun-tahun. Yang tidak diperbolehkan:
- Membuat akun massal untuk spam, scam, atau vote manipulation.
- Menggunakan nokos untuk verifikasi KYC di layanan fintech/bank.
- Menjual ulang nomor nokos di luar platform.
- Menyimpan OTP atau nomor orang lain untuk aktivitas ilegal.
Pelanggaran Syarat & Ketentuan akan menyebabkan akun di-ban otomatis oleh sistem fraud detection.
Audit log
Setiap aktivitas admin (login, perubahan settings, penyesuaian saldo customer) dicatat di activity_logs dengan timestamp, IP, dan user agent. Tim support bisa melihat audit trail kalau kamu perlu investigasi aktivitas mencurigakan di akun kamu.