Keamanan situs dan akun Anda

1. Verifikasi dua langkah (2FA/MFA)

Kami mendukung aplikasi autentikator berbasis waktu (TOTP) seperti Google Authenticator dan Authy, serta kode cadangan sekali pakai yang Anda simpan sendiri. Verifikasi dua langkah bersifat opsional saat akun dibuat, tetapi sangat kami anjurkan dan bisa Anda aktifkan kapan saja dari pengaturan keamanan dasbor.

Bila ponsel autentikator Anda hilang, pemulihan dilakukan melalui kode cadangan atau proses verifikasi identitas bersama tim dukungan. Demi keamanan, pemulihan tidak bisa dilakukan hanya dengan menyebut data pribadi; Anda akan diminta konfirmasi dokumen identitas sesuai kebijakan KYC kami.

2. Enkripsi data

Data pribadi seperti nama, alamat, dan dokumen identitas dienkripsi saat disimpan di sistem kami, dan seluruh komunikasi antara peramban Anda dengan platform dilindungi enkripsi TLS. Akses internal ke data sensitif dibatasi hanya untuk petugas yang membutuhkannya dan selalu tercatat.

Area yang menerapkan enkripsi mencakup penyimpanan dokumen verifikasi, basis data pengguna, dan kanal komunikasi dengan penyedia pembayaran. Kunci enkripsi dikelola terpisah dari basis data dan dirotasi secara berkala oleh tim keamanan.

Kami juga menjalankan pemindaian keamanan berkala dan uji penetrasi oleh pihak eksternal, dan temuan materialnya kami tindaklanjuti dengan prioritas tertinggi. Tidak ada sistem yang sempurna; yang membedakan adalah kecepatan menemukan dan menambal celah.

3. Perlindungan dari penipuan dan phishing

Komunikasi resmi Garuda Capital hanya dikirim dari domain https://garuda-capital.org. Setiap surel resmi memuat kode keamanan pribadi yang Anda tetapkan sendiri di dasbor; bila kode itu tidak ada, pesan tersebut bukan dari kami. Petugas kami tidak pernah meminta kata sandi atau kode verifikasi Anda.

Waspadai situs dengan alamat yang mirip, penawaran bonus lewat pesan pribadi, dan permintaan instalasi aplikasi pengendali jarak jauh. Panduan lengkap mengenali penyalahgunaan nama kami tersedia di halaman peringatan penipuan.

4. Notifikasi masuk

Setiap login dari perangkat atau lokasi baru memicu surel notifikasi yang menyebut waktu dan jenis perangkatnya. Notifikasi juga dikirim untuk perubahan kata sandi, perubahan metode penarikan, dan aktivitas yang terindikasi mencurigakan, misalnya upaya login gagal berulang.

Bila Anda menerima notifikasi untuk aktivitas yang bukan dilakukan Anda, tautan dalam surel tersebut mengarah ke halaman pengamanan akun untuk mengganti kata sandi dan mengakhiri seluruh sesi aktif seketika.

Notifikasi juga bisa disalin petugas palsu untuk memancing Anda mengklik tautan buatan. Berikut ciri khasnya: tautan resmi selalu berawalan domain kami, dan notifikasi asli tidak pernah meminta Anda memasukkan data lengkap lewat tautan; ia hanya memberi kabar dan mengarahkan Anda masuk lewat halaman depan sendiri.

5. Kelola perangkat dan sesi

Dasbor menampilkan daftar sesi aktif berikut perangkat, waktu masuk terakhir, dan perkiraan lokasinya. Anda bisa mengakhiri satu sesi atau semua sesi lain dengan satu tombol. Sesi yang tidak aktif berakhir otomatis setelah periode tertentu sebagai lapisan pengaman tambahan.

Sebelum pindah ponsel atau menjual perangkat lama, pastikan Anda keluar akun dari perangkat tersebut dan cabut sesinya dari dasbor agar tidak ada akses tersisa.

Untuk akun yang menyimpan dana dalam jumlah besar, kami menyarankan rutinitas yang lebih ketat: tinjau daftar sesi setiap akhir pekan dan akhiri semua sesi lain sekaligus. Tindakan satu klik ini memaksa perangkat mana pun untuk masuk kembali dengan kredensial penuh, sehingga sesi lama yang terlupakan ikut mati.

6. Pemulihan akun

Pemulihan akses selalu bermula dari verifikasi identitas: dokumen identitas asli, satu selfie untuk pencocokan wajah, dan konfirmasi data pendaftaran. Proses ini dikerjakan oleh tim khusus dan biasanya selesai dalam satu hari kerja.

Untuk mencegah pengambilalihan akun, pemulihan dari surel atau nomor ponsel yang baru berubah akan ditahan sementara sampai periode pendinginan berlalu. Kami memahami ini merepotkan, tetapi jeda inilah yang menghentikan sebagian besar upaya pembajakan akun.

7. Hak kunci API

Bila Anda menghubungkan layanan pihak ketiga melalui kunci API, kunci tersebut bisa Anda batasi ke tiga tingkat: hanya membaca data, membaca dan melakukan transaksi, atau akses penuh termasuk penarikan dana. Secara bawaan, kunci baru dibuat dengan hak baca saja.

Kami menyarankan tidak pernah memberikan hak penarikan kecuali benar-benar diperlukan, membatasi daftar alamat IP yang boleh memakai kunci, dan menghapus kunci yang tidak terpakai. Panduan langkah demi langkahnya ada di halaman mulai menggunakan platform.

8. Riwayat audit

Setiap kejadian penting pada akun Anda tercatat di riwayat audit: login dan upaya login, penghubungan atau pencabutan integrasi, perubahan strategi aktif, perubahan batas risiko, hingga pengajuan penarikan. Setiap catatan menampilkan waktu kejadian dan alamat IP terkait.

Riwayat ini bisa Anda unduh dari dasbor kapan saja. Bila menemukan kejadian yang tidak Anda kenali, lampirkan riwayat tersebut saat menghubungi dukungan agar penelusuran lebih cepat.

9. Dukungan saat terjadi insiden

Bila Anda menduga akun dibajak, segera kirim surel ke [email protected] dengan subjek "Insiden keamanan" atau telepon pada jam layanan Senin sampai Jumat, 09.00 sampai 18.00 WIB (hari libur nasional tidak termasuk). Langkah pertama kami adalah mengunci akun sementara untuk menghentikan aktivitas yang tidak sah, lalu memverifikasi identitas Anda.

Setelah identitas terverifikasi, kami memandu penggantian kredensial, meninjau riwayat audit bersama Anda, dan bila diperlukan meneruskan laporan ke pihak berwenang. Anda akan menerima kabar perkembangan minimal setiap hari kerja sampai insiden dinyatakan selesai.

Setelah insiden ditutup, kami mengirimkan ringkasan tertulis: apa yang terjadi, langkah yang diambil, dan rekomendasi pencegahan untuk akun Anda. Ringkasan ini juga menjadi dasar bila Anda perlu meneruskan laporan ke pihak berwenang atau lembaga perlindungan konsumen.

Checklist pengamanan lima menit

Bila baru membuka akun, jalankan enam langkah ini sekarang; total waktunya tidak sampai lima menit dan hasilnya jauh lebih kuat daripada kata sandi sepanjang apa pun:

• Aktifkan verifikasi dua langkah dengan aplikasi autentikator.
• Simpan kode cadangan di luar ponsel, misalnya kertas di rumah.
• Tetapkan kode keamanan surel untuk mengenali pesan resmi kami.
• Periksa daftar sesi aktif dan akhiri yang tidak Anda kenali.
• Perbarui nomor telepon dan surel agar notifikasi tidak nyasar.
• Tinjau hak kunci API dan hapus yang tidak terpakai.

Ulangi pengecekan sesi dan kunci API setiap beberapa bulan, atau setiap kali berganti ponsel. Kebiasaan kecil ini menutup pintu yang paling sering dipakai penyerang: sesi lupa keluar dan kunci yang terlalu berkuasa.