Teknologi dan data kami
Versi 1.0 — Oktober 2026
Mesin Pengirim
GO BLAST dibangun menggunakan bahasa pemrograman Go dan pustaka sumber terbuka whatsmeow (go.mau.fi/whatsmeow). whatsmeow menyambung ke jaringan WhatsApp sebagai perangkat tertaut, mirip seperti cara kerja WhatsApp Web pada peramban. Sistem ini bukan merupakan API resmi WhatsApp Business. Akibatnya, WhatsApp dapat membatasi atau memblokir nomor telepon yang terdeteksi melakukan aktivitas pengiriman massal, dan hal ini merupakan risiko yang sudah tertulis di Syarat dan Ketentuan. Pesan kampanye dikirim satu per satu ke nomor tujuan dengan jeda waktu sesuai profil kecepatan yang dipilih.
Perlakuan terhadap Akun WhatsApp Pekerja
Sesi WhatsApp pekerja hanya ada di server selama berstatus tersambung. Setelah sesi terputus atau server di-restart, data sesi dibersihkan dan pekerja perlu melakukan scan QR ulang untuk melanjutkan. Sistem tidak membaca atau menyimpan percakapan pribadi maupun pesan masuk milik pekerja. Untuk keperluan protokol perpesanan, whatsmeow membuat tabel lokal pada database (seperti whatsmeow_device, whatsmeow_sessions, whatsmeow_contacts). Metadata kontak yang disinkronkan oleh WhatsApp selama sesi aktif dapat tersimpan sementara di tabel whatsmeow_contacts. Seluruh data pada tabel whatsmeow_* otomatis dihapus tuntas dari server saat sesi diputus atau akun dihapus oleh pekerja, serta dikecualikan dari berkas cadangan database.
Keamanan Sistem
- Kata sandi di-hash menggunakan algoritma Argon2id.
- Tujuan penarikan saldo dienkripsi dengan AES-256-GCM dan baru didekripsi saat admin memprosesnya dengan verifikasi dua langkah (TOTP).
- Admin wajib melewati verifikasi dua langkah (TOTP).
- Akses web dilindungi melalui HTTPS dan jaringan Cloudflare.
- Tersedia pembatasan percobaan login (rate limiting) dan captcha Turnstile.
- Cadangan database (.gbak) dienkripsi dengan kunci terpisah (AES-256-GCM).
- Nomor customer tidak pernah dikirim ke browser pekerja dan disamarkan di log server.
Di Mana Data Disimpan
Rincian penyimpanan data, lokasi penyimpanan, masa retensi, dan pihak yang memiliki akses:
| Jenis Data | Disimpan di Mana | Berapa Lama | Siapa yang Bisa Melihat |
|---|---|---|---|
| Akun pekerja (username, email opsional, hash kata sandi) | Database PostgreSQL (tabel users) | Selama akun berstatus aktif | Admin (username dan email), sistem autentikasi (hash) |
| Tujuan penarikan terenkripsi (nomor rekening atau alamat wallet) | Database PostgreSQL (tabel users, terenkripsi AES-256-GCM) | Selama akun berstatus aktif | Hanya admin setelah verifikasi TOTP saat proses penarikan, dan pekerja pemilik akun |
| Saldo dan riwayat upah (catatan buku besar) | Database PostgreSQL (tabel ledger_entries, append-only) | Permanen untuk integritas dan keakuratan saldo | Pekerja pemilik akun, admin |
| Nomor customer dan data campaign | Database PostgreSQL (tabel campaign_numbers dan campaigns) | Disimpan sampai admin membersihkannya; nomor terkirim dianonimkan, bukan dihapus | Admin (nomor customer tidak pernah ditampilkan ke pekerja) |
| Sesi WhatsApp (kunci sesi dan metadata protokol) | Database lokal (tabel whatsmeow_*) | Hanya selama sesi tersambung (dihapus saat putus atau server restart) | Sistem otomasi whatsmeow |
| Berkas sementara unggahan (potongan file daftar nomor) | Penyimpanan lokal server (direktori data/tmp/) | Maksimal 1 jam (dibersihkan otomatis) | Proses internal unggahan admin |
| Cadangan database (.gbak) | Penyimpanan lokal server / cadangan (terenkripsi AES-256-GCM) | Sesuai kebijakan retensi cadangan admin | Admin pemegang kunci cadangan |
| Log audit login gagal | Database PostgreSQL (tabel audit_logs) | 30 hari | Admin |
| Log operasional server | Berkas log server / stdout | Sesuai rotasi log server | Pengelola teknis server |
Pihak Ketiga yang Terlibat
Cloudflare digunakan untuk perutean lalu lintas web, perlindungan DDoS, dan captcha Turnstile.