Kebijakan Pentest & Peringatan Hukum
Terakhir diperbarui: 27 Oktober 2026 — Cloud Music by Yudya Naufal Fabian
1. Halaman Ini untuk Siapa
Halaman ini ditujukan untuk bug hunter, penetration tester, mahasiswa, peneliti keamanan, dan pengguna biasa yang iseng mencoba-coba. Cloud Music adalah situs milik pribadi yang digarap oleh Yudya Naufal Fabian. Kami menghargai laporan keamanan yang jujur — tapi kami tidak menoleransi penyalahgunaan.
2. Boleh Dilakukan (Safe Harbor)
Selama itikad baik, kami tidak akan menuntut kamu atas kegiatan berikut:
- Memindai halaman & fitur publik, membaca respons HTTP, dan menguji input pada akun milikmu sendiri.
- Menguji autentikasi, otorisasi, CSRF, rate limit, dan validasi input pada akunmu sendiri.
- Menyuntik payload proof of concept yang tidak merusak data dan tidak mengganggu pengguna lain (mis. alert XSS ke tab sendiri).
- Membaca
/robots.txt,/sitemap.xml, dan halaman legal kami. - Melaporkan celah yang ditemukan sebelum dipublikasikan ke umum.
Catatan: Pasal 33 UU ITE memang mengecualikan kegiatan “penelitian/pengujian sistem elektronik” yang sah — tapi pengecualian itu hanya melindungi kamu kalau caranya tidak melawan hukum dan tidak merugikan orang lain.
3. Dilarang Keras
- Mengeksploitasi celah untuk mengambil alih akun/orang lain, membaca data pengguna lain, atau masuk area admin.
- Mengubah, menambah, menghapus, memindahkan, atau menyembunyikan data/informasi elektronik milik kami atau milik pengguna lain.
- Mendownload / membocorkan / menjual / mempublikasikan database, tabel, tangkapan data, kredensial, atau isi laporan pengguna.
- Brute force password, menebak kode OTP, menebak reset token, atau memaksa login paksa.
- Menyadap komunikasi, memotong koneksi orang lain, atau mencuri cookie/sesi.
- DDoS / flooding — menembak endpoint dengan ribuan request sampai server tumbang atau kena sanksi hosting.
- Deface tampilan, menyisipkan halaman palsu, atau memasang web shell/backdoor.
- Social engineering — memalsukan identitas, mengaku admin, menipu staf/hosting, atau memeras (“bayar atau saya viralkan”).
- Scraping berlebihan yang membuat layanan terganggu untuk pengguna lain.
- Publikasi PoC (tulis blog, X, TikTok, YouTube, grup) sebelum celah ditutup dan kami beri izin tertulis.
4. Ancaman Pidana bagi Pelanggar
Cloud Music beroperasi di Indonesia. Bila kamu tetap melakukan eksploitasi tanpa izin, kami akan mengumpulkan bukti (log akses, IP, user-agent, jejak permintaan) dan memprosesnya lewat jalur hukum. Ancaman pidananya, antara lain:
a. UU ITE — No. 11/2008, diubah dengan No. 19/2016 dan No. 1/2024
| Perbuatan | Pasal Larangan | Pasal Pidana | Ancaman Maksimum |
|---|---|---|---|
| Akses sistem elektronik milik orang lain tanpa hak | Pasal 30 ayat (1) | Pasal 46 ayat (1) | 6 tahun penjara dan/atau Rp600.000.000 |
| Akses sistem elektronik milik pemerintah/daerah tanpa hak | Pasal 30 ayat (2) | Pasal 46 ayat (2) | 7 tahun penjara dan/atau Rp700.000.000 |
| Menerobos/menembus sistem proteksi (firewall, autentikasi, kode akses) | Pasal 30 ayat (3) | Pasal 46 ayat (3) | 8 tahun penjara dan/atau Rp800.000.000 |
| Menyadap/mengintersepsi informasi elektronik milik orang lain | Pasal 31 ayat (1)–(2) | Pasal 47 | 10 tahun penjara dan/atau Rp800.000.000 |
| Mengubah, menambah, mengurangi, merusak, menghilangkan, memindahkan, menyembunyikan informasi/dokumen elektronik | Pasal 32 ayat (1) | Pasal 48 ayat (1) | 8 tahun penjara dan/atau Rp2.000.000.000 |
| Memindahkan/mentransfer informasi elektronik ke pihak tidak berhak | Pasal 32 ayat (2) | Pasal 48 ayat (2) | 9 tahun penjara dan/atau Rp3.000.000.000 |
| Perbuatan di atas sampai membuka data rahasia ke publik | Pasal 32 ayat (3) | Pasal 48 ayat (3) | 10 tahun penjara dan/atau Rp5.000.000.000 |
| Mengganggu sistem elektronik supaya tidak bekerja semestinya (DoS/DDoS) | Pasal 33 | Pasal 49 | 10 tahun penjara dan/atau Rp10.000.000.000 |
| Memfasilitasi perbuatan dilarang (menyediakan/menjual tool exploit, kode akses curian) | Pasal 34 ayat (1) | Pasal 50 | 10 tahun penjara dan/atau Rp10.000.000.000 |
| Memalsukan, membuat, atau mengubah data elektronik seolah autentik | Pasal 35 | Pasal 51 ayat (1) | 12 tahun penjara dan/atau Rp12.000.000.000 |
| Perbuatan Pasal 30–34 yang merugikan orang lain secara materiil | Pasal 36 | Pasal 51 ayat (2) | 12 tahun penjara dan/atau Rp12.000.000.000 |
b. UU PDP — No. 27/2022 (Pelindungan Data Pribadi)
Bila celah dipakai untuk mengambil data pribadi pengguna lain (email, username, playlist, riwayat putar):
- Memperoleh/mengumpulkan data pribadi milik orang lain — Pasal 65 ayat (1) jo. Pasal 67 ayat (1): penjara maks. 5 tahun dan/atau denda maks. Rp5.000.000.000.
- Mengungkapkan data pribadi milik orang lain — Pasal 65 ayat (2) jo. Pasal 67 ayat (2): maks. 4 tahun dan/atau Rp4.000.000.000.
- Menggunakan data pribadi milik orang lain — Pasal 65 ayat (3) jo. Pasal 67 ayat (3): maks. 5 tahun dan/atau Rp5.000.000.000.
- Bisa tambahan: perampasan keuntungan & pembayaran ganti rugi (Pasal 69), dan untuk korporasi dendanya hingga 10× (Pasal 70).
c. Dasar hukum lain yang bisa turut dikenakan
- KUHP (UU 1/2023) — pasal-pasal akses tanpa hak ke sistem elektronik & penyalahgunaan data.
- UU Hak Cipta No. 28/2014 dan UU 11/2008 jo. UU 19/2016 Pasal 36 — ganti rugi perdata.
- UU ITE Pasal 2 berlaku juga untuk pelaku di luar Indonesia sepanjang perbuatannya berdampak di Indonesia.
- Laporan diproses lewat Polda/Polres (Siber) atau BSSN; hosting tempat situs berada juga dapat memutus layanan.
5. Cara Melapor dengan Benar
- Buka halaman Lapor Bug, pilih kartu “Lapor Celah Keamanan”.
- Pilih tingkat keparahan: P1 kritis (RCE/kontrol server/bocor database), P2 tinggi (bypass login/data orang lain), P3 sedang (XSS/CSRF/IDOR), P4 rendah (info bocor minor/hardening).
- Isi nama, email Gmail yang aktif, judul, langkah reproduksi, dan lampiran bukti (screenshot PoC).
- Stop. Jangan ulangi serangannya, jangan simpan datanya, jangan sebarkan tautan/URL-nya.
- Beri waktu penanganan: kami menargetkan balasan awal ≤ 3×24 jam dan perbaikan sesuai tingkat keparahan.
- Butuh jalur lain? Pakai Kontak Admin. Kami juga menyediakan security.txt dan robots.txt berisi rujukan kebijakan ini.
6. Apresiasi (Bukan Uang)
Cloud Music adalah proyek pribadi tanpa anggaran bounty — jadi tidak ada imbalan tunai. Apresiasi kami: nama kamu dicatat di Hall of Fame untuk laporan yang valid dan dibenahi, plus kabar saat celahnya ditutup. Menuntut bounty dengan ancaman (“bayar atau saya viralkan”) justru masuk pemerasan — Pasal 368 KUHP dan Pasal 27 ayat (4) jo. Pasal 45 UU ITE.
7. Isi Laporan yang Kami Perlukan
- URL/halaman & parameter yang terdampak.
- Langkah reproduksi bernomor (dari klik pertama sampai celah terbukti).
- Payload/HTTP request, secukupnya untuk membuktikan — tanpa data pengguna asli.
- Dampak yang mungkin timbul, dan saran perbaikan bila kamu punya.
- Identitas & email untuk konfirmasi (nama akan kami publish di Hall of Fame hanya bila kamu mengizinkan).
8. Konsekuensi Bila Kebijakan Ini Dilanggar
- Akun diblokir permanen dan alamat IP/kredensial dibagikan ke penyedia hosting sebagai bukti.
- Laporan polisi (UU ITE & UU PDP) disertai log server sebagai alat bukti elektronik — sah menurut Pasal 5 UU ITE.
- Gugatan ganti rugi atas kerugian materiil & immateriil.
- Bila kamu menemukan celah lalu tidak sengaja menyentuh data pengguna: segera kabari kami, jangan disimpan, jangan disebar. Itikad baik akan kami perlakukan sesuai bagian 2.
Penanggung jawab: Yudya Naufal Fabian — pemilik & pengembang Cloud Music.
Kebijakan ini adalah bagian dari Ketentuan Layanan.
Dengan mengakses https://cloudmusic.web.id, kamu dianggap membaca dan menyetujui halaman ini.
Halaman ini bukan nasihat hukum. Angka pasal merujuk pada UU 11/2008 sebagaimana diubah UU 19/2016 dan UU 1/2024, serta UU 27/2022 tentang Pelindungan Data Pribadi.
