Security

Terakhir diperbarui: 6 November 2026

Nala Send menangani token WhatsApp, nomor penerima, dan isi pesan. Halaman ini merangkum kontrol utama yang melindungi data tersebut.

Enkripsi dan secret

• Token Meta disimpan dengan AES-256-GCM dan AAD yang mengikat token ke tenant dan nomor.
• API key disimpan sebagai hash SHA-256; key mentah hanya ditampilkan sekali.
• Nomor penerima dienkripsi untuk ditampilkan dan di-hash dengan HMAC untuk dedupe/index.
• Secret webhook dan kredensial payment gateway disimpan terenkripsi di vault.

Isolasi tenant

• Setiap kredensial menentukan client_id; tenant tidak diambil dari input pengguna.
• Ownership phone_number_id diperiksa sebelum API Meta-compatible meneruskan request ke Meta.
• Dashboard memakai session HttpOnly, CSRF double-submit, dan role check di server.

Operasional

• Semua trafik publik melalui HTTPS. Log tidak memuat token, secret, atau nomor lengkap.
• Webhook keluar ditandatangani HMAC-SHA256 dan diverifikasi dengan timestamp.
• Rate limit per nomor dan kuota pool membatasi penyalahgunaan.
• Retensi log dan data mengikuti kebijakan privasi.

Pelaporan kerentanan

Jika kamu menemukan masalah keamanan, kirim detail secara privat ke halo@nalasend.id dengan subjek Security report. Jangan menguji pada data pelanggan lain, jangan merusak layanan, dan beri waktu perbaikan sebelum publikasi.

Batas klaim

Nala Send tidak mengklaim sertifikasi tertentu di halaman ini. Kontrol di atas menjelaskan desain sistem, bukan jaminan bahwa layanan bebas dari semua risiko.