Ada satu fitur keamanan yang hampir tidak pernah disadari pengguna sampai suatu hari mereka tiba-tiba keluar sendiri dari aplikasi: login di perangkat baru, lalu sesi di perangkat lama langsung terputus. Namanya single active session: satu akun hanya boleh punya satu sesi aktif pada satu waktu.
Sekilas ini terasa merepotkan. Tapi fitur kecil inilah yang menjaga dua hal penting di sistem bisnis: akun tidak mudah dipakai ramai-ramai, dan catatan "siapa melakukan apa" tetap bisa dipercaya. Di Assets DEMO, aplikasi manajemen aset yang saya bangun, fitur ini aktif sebagai bagian dari keamanan bertingkat.
Sebuah Skenario Sehari-hari (Ilustrasi)
Bayangkan sebuah gudang dengan satu akun staf bernama "gudang1". Di atas kertas, akun itu milik Rina. Kenyataannya, passwordnya dibagikan ke tiga rekan yang bergantian memakai tablet gudang. Suatu hari, nilai satu aset diubah dan muncul selisih. Di catatan tertulis "diubah oleh gudang1". Siapa yang melakukannya? Tidak ada yang tahu, dan tidak ada yang bisa dimintai penjelasan.
Tidak ada niat jahat dalam cerita ini. Berbagi akun hanya terasa praktis. Tapi akibatnya, jejak audit kehilangan fungsinya persis di saat dibutuhkan. Single active session adalah salah satu cara membuat situasi seperti ini lebih sulit terjadi.
Cara Kerjanya Sederhana
Secara konsep, mekanismenya berjalan begini:
1. Pengguna berhasil login, lalu sistem membuat tanda pengenal sesi dan mencatatnya sebagai satu-satunya sesi sah untuk akun itu.
2. Setiap permintaan berikutnya dari perangkat tersebut membawa tanda pengenal itu, dan server memeriksanya.
3. Kalau akun yang sama login dari perangkat lain, tanda pengenal yang lama diganti dengan yang baru.
4. Ketika perangkat lama mencoba melakukan sesuatu, server mendapati tandanya sudah tidak berlaku dan memintanya login ulang.
Tidak ada yang rumit di sisi pengguna. Yang berubah hanya satu aturan di server: untuk setiap akun, hanya satu sesi yang dianggap hidup. (Ini penjelasan tingkat konsep. Detail implementasi bisa berbeda antar sistem.)
Masalah Pertama: Satu Akun, Banyak Orang
Di banyak kantor, godaan berbagi akun itu nyata. Satu akun admin dipakai bergantian karena lebih praktis daripada meminta akun baru. Dalam bisnis berbasis lisensi per pengguna, satu akun dibagi ke beberapa orang juga berarti pendapatan yang bocor.
Dengan single active session, berbagi akun jadi tidak nyaman: begitu orang kedua login, orang pertama langsung terlempar. Orang akhirnya memilih meminta akun sendiri, dan itu memang perilaku yang diinginkan. Aturan yang tegas di sistem sering lebih efektif daripada imbauan di grup chat.
Masalah Kedua: Audit Trail yang Kehilangan Arti
Ini bagian yang paling dekat dengan latar belakang saya di audit internal. Jejak audit hanya berguna kalau nama di dalamnya bisa dipercaya. Kalau di catatan tertulis "diubah oleh Budi" padahal akun Budi dipakai tiga orang, catatan itu sah secara teknis tapi tidak berguna saat ada selisih yang harus ditelusuri.
Satu akun untuk satu orang adalah fondasi pertanggungjawaban. Single active session membantu menjaganya, karena penyalahgunaan akun bersama jadi sulit dilakukan diam-diam. Saya membahas peran jejak audit lebih luas di artikel "Apa Itu Audit Trail, dan Kenapa Bisnismu Mungkin Butuh Fitur Ini Lebih dari yang Kamu Kira".
Masalah Ketiga: Tanda Pertama Akun Dibajak
Bayangkan password seorang staf bocor dan orang lain login memakainya. Tanpa pembatasan sesi, pemilik asli dan pembajak bisa aktif bersamaan tanpa ada yang sadar. Dengan sesi tunggal, salah satunya pasti terlempar. Pemilik asli yang tiba-tiba keluar sendiri akan bertanya-tanya, dan pertanyaan itu sering menjadi sinyal pertama bahwa ada yang tidak beres.
Karena itu pengguna sebaiknya diajarkan satu kebiasaan: kalau tiba-tiba keluar sendiri padahal tidak login di tempat lain, laporkan dan ganti password. Fitur teknis hanya bekerja maksimal kalau orang-orangnya tahu cara menanggapi sinyalnya.
Satu Lapisan di Antara Lapisan Lain
Single active session bukan pengganti password yang kuat, dan ia bukan satu-satunya perlindungan. Di Assets DEMO, keamanannya berlapis: password dilindungi dengan enkripsi acak bersalt kelas industri (penjelasan cara kerjanya ada di artikel "Enkripsi Password Standar Militer Itu Apa, dan Kenapa Penting untuk Sistem Bisnis Kecil"), dan akses dibagi per peran. Staf biasa hanya dapat melihat dan memindai aset, sementara perubahan nilai dan data sensitif ada di bawah wewenang administrator.
Cara pikir yang sehat adalah anggap setiap lapisan pasti bisa jebol suatu hari, lalu pastikan ada lapisan berikutnya yang menahan. Sesi tunggal adalah lapisan yang murah, nyaris tanpa biaya, tapi menutup celah yang sering terlewat.
Harga yang Harus Dibayar, dan Cara Meredamnya
Keamanan selalu punya ongkos kenyamanan, dan sebaiknya disebutkan terus terang:
• Pengguna yang berganti dari HP ke laptop akan keluar dari perangkat sebelumnya.
• Dua orang yang sah dan terbiasa berbagi akun akan protes.
• Orang yang ingin membuka dua perangkat sekaligus untuk membandingkan data tidak bisa melakukannya.
Ongkos ini bisa diredam dengan langkah sederhana: beri akun sendiri untuk setiap orang, termasuk staf shift, sehingga tidak ada alasan berbagi akun. Sampaikan aturan ini sejak pelatihan awal supaya tidak terasa sebagai gangguan. Dan tentukan prosedur serah terima untuk perangkat yang dipakai bergantian: logout di akhir shift, login dengan akun masing-masing.
Menurut saya ongkos ini wajar untuk sistem yang menyimpan data aset dan mutasi bernilai. Untuk aplikasi yang tujuannya santai, aturan seketat ini mungkin berlebihan. Pertanyaannya selalu sama: seberapa mahal akibatnya kalau akun disalahgunakan tanpa ada yang tahu?
Cara Menguji Sistem Mana Pun dalam Dua Menit
Kamu bisa memeriksa sendiri apakah sebuah aplikasi menerapkan pembatasan sesi:
1. Login di perangkat A (misalnya laptop).
2. Login dengan akun yang sama di perangkat B (misalnya HP).
3. Kembali ke perangkat A, lalu coba lakukan sesuatu, misalnya membuka halaman lain atau menyimpan data.
Kalau perangkat A masih berjalan normal, berarti sesi ganda diizinkan. Itu bukan otomatis salah, tapi kamu perlu tahu dan memilih dengan sadar. Untuk sistem yang menyimpan data bernilai, kebanyakan bisnis lebih nyaman dengan aturan satu sesi.
Kesimpulan & Refleksi
Single active session adalah contoh keamanan yang hampir tidak terlihat: satu aturan kecil di server yang mencegah akun dipakai ramai-ramai dan menjaga catatan siapa-melakukan-apa tetap bermakna.
Kalau kamu sedang menilai sistem untuk bisnismu, ajukan satu pertanyaan ke developernya: apa yang terjadi kalau satu akun login di dua perangkat sekaligus? Jawabannya memberi gambaran apakah sistem itu dirancang untuk dipertanggungjawabkan, bukan sekadar dipakai.
Kamu juga bisa mencobanya langsung di assets.arzhaning.my.id: masuk dengan salah satu akun uji coba di laptop, lalu masuk dengan akun yang sama di HP, dan lihat apa yang terjadi pada sesi pertama.