Bayangkan situasi yang terjadi jutaan kali setiap hari di Indonesia: seseorang memindai kode QRIS di warung kopi, memasukkan PIN, lalu dalam hitungan detik muncul notifikasi "pembayaran berhasil" di layar ponsel penjual. Bagi pengguna, itu satu ketukan. Di balik layar, ada rangkaian percakapan antarsistem yang berlangsung dalam milidetik β dan percakapan itu dijembatani oleh API.
Empat detik yang penuh percakapan mesin
API adalah singkatan dari Application Programming Interface. Alih-alih menghafal definisinya, lebih mudah mengikuti alurnya. Saat pengguna menekan tombol bayar, aplikasi dompet digital tidak "masuk" ke server bank atau ke sistem penyelenggara switching. Aplikasi itu mengirim pesan terstruktur ke sebuah alamat khusus milik penyedia layanan, yang di kalangan pengembang disebut endpoint.
Pesan itu tidak diterima begitu saja. Sistem penerima lebih dulu memeriksa identitas pengirim melalui token akses atau tanda tangan digital: benarkah permintaan ini datang dari aplikasi yang terdaftar, dan apakah tokennya masih berlaku? Jika lolos, sistem memeriksa saldo, mencatat transaksi, lalu mengirim balik jawaban dalam format standar β umumnya JSON β yang isinya kurang lebih berupa status berhasil, nomor referensi, dan waktu transaksi. Aplikasi penjual kemudian menerjemahkan jawaban itu menjadi kalimat "pembayaran diterima" yang dibaca manusia.
Karena itulah API sering diibaratkan pelayan restoran: pelanggan tidak perlu masuk dapur, cukup menyampaikan pesanan dan menunggu hidangan datang. Yang penting, dapur tetap tertutup dan hanya pesanan yang sah yang dilayani.
Ketika negara ikut menyeragamkan "bahasa" antarsistem
Persoalan muncul ketika setiap bank dan penyedia layanan membangun "bahasa" API sendiri-sendiri. Sebuah startup pembayaran yang ingin terhubung ke sepuluh bank harus mempelajari sepuluh format berbeda, sepuluh cara autentikasi, dan sepuluh dokumentasi teknis. Biayanya besar dan integrasinya lambat.
Untuk mengurai persoalan ini, Bank Indonesia meluncurkan Standar Nasional Open API Pembayaran (SNAP) pada 2021 sebagai bagian dari Blueprint Sistem Pembayaran Indonesia 2025. SNAP mengatur hal-hal yang tampak sepele tetapi menentukan: format data, protokol keamanan, mekanisme autentikasi, hingga penamaan layanan. Dengan standar itu, satu kali integrasi bisa dipakai untuk banyak mitra. Infrastruktur seperti BI-FAST, yang memungkinkan transfer antarbank berjalan hampir seketika selama 24 jam, juga bersandar pada pertukaran data antarsistem semacam ini.
Di sektor pemerintahan, pendekatannya serupa meski istilahnya berbeda. Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (SPBE) dan Peraturan Presiden Nomor 39 Tahun 2019 tentang Satu Data Indonesia sama-sama menekankan interoperabilitas β kemampuan sistem antarinstansi saling bertukar data tanpa harus disatukan menjadi satu aplikasi raksasa. Contoh yang paling sering ditemui warga adalah verifikasi NIK. Ketika sebuah aplikasi keuangan meminta nomor KTP untuk membuka rekening, data itu dicocokkan ke basis data kependudukan Direktorat Jenderal Dukcapil Kementerian Dalam Negeri melalui kanal resmi berbasis perjanjian kerja sama, bukan dengan menyalin seluruh isi database ke server swasta.
Celah yang tidak butuh peretasan canggih
Justru di titik inilah risiko terbesar berada. Banyak insiden kebocoran data tidak berawal dari peretasan sistem inti, melainkan dari pintu samping yang lupa dikunci.
Polanya kerap sederhana. Sebuah aplikasi memanggil endpoint untuk menampilkan data pengguna, misalnya beralamat .../user/10231/profil. Seorang peneliti keamanan β atau pelaku kejahatan β mengganti angka itu menjadi 10232, lalu 10233. Jika server hanya memeriksa "apakah pengirim sudah login" tanpa memeriksa "apakah pengirim berhak atas data nomor ini", maka data pengguna lain ikut terbuka. Dengan skrip sederhana, ratusan ribu baris data bisa diunduh berurutan dalam hitungan jam. Celah ini dikenal sebagai kelemahan otorisasi tingkat objek, dan bertahun-tahun menempati peringkat teratas daftar risiko keamanan API versi OWASP.
Sumber masalah lain adalah endpoint lama yang tidak pernah dimatikan. Versi API untuk aplikasi generasi sebelumnya sering dibiarkan hidup agar pengguna lama tidak terganggu, padahal standar keamanannya sudah usang dan tidak lagi diawasi. Badan Siber dan Sandi Negara (BSSN) dalam laporan lanskap keamanan siber tahunannya berulang kali menyoroti eksposur layanan dan celah aplikasi web sebagai pintu masuk insiden di Indonesia.
Praktik pengamanan yang lazim direkomendasikan cukup jelas: token akses berumur pendek, pembatasan jumlah permintaan per satuan waktu untuk mencegah pengerukan data massal, enkripsi jalur komunikasi, pencatatan aktivitas yang bisa diaudit, serta inventarisasi berkala atas seluruh endpoint yang masih aktif.
Kewajiban hukum yang mengikat
Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi berlaku, aliran data lewat API bukan lagi semata urusan teknis. UU PDP menempatkan perusahaan sebagai pengendali data yang wajib memastikan keamanan pemrosesan, memberi tahu subjek data dan lembaga pengawas apabila terjadi kegagalan pelindungan dalam waktu 3x24 jam, serta memastikan dasar pemrosesan yang sah β termasuk ketika data diteruskan ke pihak ketiga. Sanksinya mencakup denda administratif hingga persentase pendapatan tahunan. Otoritas Jasa Keuangan juga mengatur tata kelola teknologi informasi bagi lembaga jasa keuangan, termasuk kewajiban manajemen risiko atas kerja sama dengan penyedia pihak ketiga.
Mengapa pengguna biasa perlu tahu
Bagi perusahaan teknologi, API telah menjadi model bisnis: penyedia peta, pengiriman pesan, verifikasi wajah, hingga layanan kecerdasan buatan menjual akses berbasis volume pemakaian. Sebuah usaha rintisan bisa meluncurkan produk dalam hitungan minggu karena tidak perlu membangun semuanya dari nol. Inilah yang disebut API economy.
Bagi pengguna, pemahaman ini punya nilai praktis. Setiap kali sebuah aplikasi meminta izin mengakses kontak, lokasi, atau data rekening β dan setiap kali muncul layar persetujuan yang biasanya langsung diketuk "setuju" β yang sebenarnya dibuka adalah jalur pertukaran data ke sistem lain. Menyadari hal itu membuat pertanyaan sederhana menjadi masuk akal: data apa yang mengalir, ke siapa, dan sampai kapan izinnya berlaku. Seiring makin luasnya adopsi layanan digital dan AI, jawaban atas pertanyaan itu akan makin menentukan seberapa aman ekosistem digital kita bekerja.
