Ditinjau oleh Kamu pernah dengar tim IT bilang “sistem perlu autentikasi tambahan”, lalu di rapat lain orang menyebut “identifikasi pelanggan”, dan di dokumen legal muncul kata “otorisasi akses”? Tiga istilah ini sering dipakai bergantian seolah artinya sama, padahal beda. Kalau kamu pemilik atau pengambil keputusan bisnis digital, kebingungan ini bukan cuma soal bahasa.
Salah paham soal autentikasi bisa berarti salah desain proses keamanan akun pelanggan. Artikel ini meluruskan artinya satu per satu, lalu masuk ke bagian yang lebih praktis: jenis-jenis faktor autentikasi dan cara memilih kombinasi yang tepat untuk bisnismu.
Apa itu autentikasi?
Autentikasi adalah proses membuktikan bahwa seseorang atau sesuatu benar benar seperti yang diklaimnya. Bukan sekadar menyebut siapa dirinya, tapi membuktikan klaim itu benar.
Tiga istilah ini sering tertukar karena memang berurutan dalam satu alur, tapi maknanya berbeda:
- Identifikasi: klaim siapa dirinya. Contohnya memasukkan username, alamat email, atau nomor telepon saat login.
- Autentikasi: pembuktian bahwa klaim identifikasi tadi benar. Contohnya memasukkan password yang cocok, atau memasukkan kode OTP yang dikirim ke nomor itu.
- Otorisasi: keputusan apa saja yang boleh diakses setelah identitas terbukti. Contohnya pelanggan yang sudah login hanya bisa melihat pesanannya sendiri, bukan pesanan pelanggan lain.
Urutannya selalu dimulai dari identifikasi dulu (siapa kamu), lalu autentikasi (buktikan itu benar kamu), baru otorisasi (apa yang boleh kamu lakukan). Kalau salah satu langkah ini lemah atau dilewati, dua langkah lainnya jadi tidak berarti.
Autentikasi yang lemah punya konsekuensi langsung ke bisnis, bukan cuma ke sistem. Kalau siapa saja bisa masuk ke akun pelanggan tanpa pembuktian yang memadai, akun itu bisa diambil alih orang lain. Begitu akun diambil alih, data yang seharusnya hanya bisa dilihat satu pelanggan bisa terekspos ke pihak yang salah, mulai dari riwayat transaksi sampai data pribadi yang tersimpan di profilnya.
Dampaknya tidak berhenti di satu insiden, melainkan terhadap kepercayaan pelanggan terhadap platform bisa runtuh begitu satu kejadian pengambilalihan akun tersebar, bahkan kalau itu cuma menimpa segelintir pengguna. Ada juga sisi kepatuhan yang perlu diperhatikan, seperti menjaga data pelanggan bukan cuma soal etika bisnis, tapi juga kewajiban hukum. Kamu bisa baca lebih lanjut soal kewajiban pemilik bisnis terkait data pribadi pelanggan untuk memahami sisi regulasinya.
Tiga jenis faktor autentikasi yang umum dipakai
Secara umum, faktor autentikasi dikelompokkan jadi tiga kategori berdasarkan sumbernya. Ketiganya bisa dipakai sendiri sendiri atau digabung.
| Faktor | Penjelasan | Contoh sehari hari |
|---|---|---|
| Sesuatu yang diketahui | Informasi rahasia yang hanya diketahui pemilik akun | Password, PIN |
| Sesuatu yang dimiliki | Benda atau akses fisik/digital yang hanya dipegang pemilik akun | Kode OTP ke ponsel, token fisik |
| Sesuatu yang melekat pada diri | Karakteristik biologis yang unik pada tiap orang | Sidik jari, pengenalan wajah |
Faktor “sesuatu yang dimiliki” pada tabel di atas tidak selalu berbentuk OTP atau token fisik. Untuk bisnis yang perlu memastikan pelanggannya benar benar orang sungguhan sebelum memberi akses, misalnya saat pendaftaran akun, pengajuan pinjaman, atau pembukaan rekening digital, faktor kepemilikan bisa diperluas ke faktor dokumen: bukti fisik atau digital yang merepresentasikan identitas resmi seseorang, seperti KTP.
Memproses faktor dokumen ini secara manual, misalnya memeriksa foto KTP satu per satu dengan mata, jelas memakan waktu dan sulit diskalakan begitu jumlah pendaftar bertambah. Di sinilah otomatisasi berperan, layanan seperti API OCR KTP menerima unggahan foto KTP (format JPG atau PNG, maksimal 5 MB) lalu mengembalikan data yang sudah terbaca seperti NIK dan nama, termasuk untuk foto yang agak miring atau kurang terang. Bisnis tidak perlu mengetik ulang data KTP secara manual, cukup memproses hasil bacaannya.
Apa itu autentikasi dua faktor (2FA)?
Autentikasi dua faktor adalah menggabungkan dua faktor berbeda dari tiga kategori di atas, bukan dua bukti dari kategori yang sama. Contoh paling umum adalah password (sesuatu yang diketahui) ditambah kode OTP yang dikirim ke ponsel (sesuatu yang dimiliki).
Kenapa ini dianggap lebih kuat? Karena kalau satu faktor bocor, faktor kedua masih menahan akses. Password bisa saja tersebar lewat kebocoran data di layanan lain, tapi tanpa akses ke ponsel penerima OTP, orang yang mencuri password itu tetap tidak bisa masuk.
Kamu mungkin sudah familiar dengan pola ini kalau pernah login ke dashboard perbankan atau dashboard admin toko online, keduanya biasanya meminta kode tambahan setelah password dimasukkan.
Beberapa titik dalam proses bisnis sehari hari sering diabaikan padahal rawan disalahgunakan. Form pendaftaran akun yang hanya meminta email dan password tanpa verifikasi tambahan adalah salah satu contohnya, siapa pun yang tahu emailmu bisa mencoba menebak passwordnya. Contoh lain ketika data pelanggan yang tidak dijaga lagi setelah proses autentikasi selesai, padahal risiko justru berlanjut selama data itu tersimpan.
Kalau kamu ingin memahami lebih jauh titik titik mana saja yang paling sering jadi celah, ada pembahasan lebih detail di titik rawan penyalahgunaan data pribadi pelanggan di proses bisnis.
Pertanyaan selanjutnya adalah bagaimana cara bisnis memilih kombinasi faktor yang tepat? Memilih faktor autentikasi sebaiknya disesuaikan dengan tingkat risiko aksinya, bukan asal menumpuk sebanyak mungkin lapisan.
- Untuk aksi berisiko rendah seperti login harian, satu atau dua faktor ringan (password saja, atau password ditambah OTP) biasanya sudah cukup.
- Untuk aksi berisiko tinggi, seperti mengubah data rekening, mengajukan klaim yang melibatkan uang, atau onboarding pelanggan baru yang identitasnya belum pernah diverifikasi sama sekali, sebaiknya bisnis menambah faktor dokumen.
Intinya bukan soal seberapa banyak lapisan yang dipasang, tapi menimbang kenyamanan pelanggan versus tingkat risiko transaksinya. Terlalu banyak lapisan untuk aksi berisiko rendah justru bikin pelanggan frustrasi, sementara terlalu sedikit lapisan untuk aksi berisiko tinggi membuka celah.
Kalau bisnismu mulai mempertimbangkan faktor dokumen seperti KTP, pertanyaan yang wajar muncul adalah soal keamanan datanya sendiri, dan itu dibahas di amankah menyerahkan foto KTP untuk verifikasi akun.
Kesalahan umum saat menerapkan autentikasi berbasis dokumen
Banyak bisnis kecil masih memeriksa dokumen identitas secara manual, dilihat langsung dengan mata telanjang oleh staf yang bertugas. Cara ini bukan salah, tapi punya batas kemampuan mendeteksi dokumen palsu atau data yang tidak konsisten, apalagi kalau volume pendaftar terus bertambah dan staf harus memeriksa lebih banyak dokumen dalam waktu yang sama.
Masalahnya bukan pada prosesnya yang manual, tapi pada skalanya. Cara manual yang cukup untuk sepuluh pendaftar per hari belum tentu cukup untuk seribu pendaftar per hari. Ada batas yang jelas antara apa yang bisa diandalkan dari pemeriksaan manual dan apa yang tidak, dan itu dijelaskan lebih rinci di memeriksa keaslian KTP pelanggan, batas yang bisa dikerjakan manual dan yang tidak.
Autentikasi adalah pintu masuk kepercayaan
Memilih faktor autentikasi yang tepat adalah keputusan bisnis, bukan sekadar keputusan teknis. Keputusan itu juga tidak sekali jadi, ia berubah seiring bisnismu berkembang dan jenis risiko yang dihadapi bertambah.
Faktor yang cukup untuk bisnis kecil dengan sedikit transaksi berisiko bisa jadi kurang begitu bisnismu mulai menangani pendaftaran akun dalam jumlah besar atau transaksi yang melibatkan uang.
Coba cek ulang faktor autentikasi apa saja yang sedang dipakai bisnismu sekarang, dan apakah kombinasi itu masih sesuai dengan risiko yang dihadapi hari ini.
