Cara Memilih Pengelola Kata Sandi dan Memakainya dengan Benar

Saat sebuah situs dibobol, pasangan email dan kata sandi yang dicuri jarang berhenti di tangan penyerang pertama. Data itu diperjualbelikan lalu dimasukkan ke alat otomatis yang mencoba kombinasi yang sama di layanan email, toko online, media sosial, dan platform game. Teknik yang disebut credential stuffing ini hanya berhasil jika orang memakai ulang kata sandi, dan merupakan salah satu cara paling umum akun biasa diambil alih.

Kata sandi unik memutus rantai tersebut. Jika setiap akun punya kata sandi acak yang panjang, kebocoran di satu layanan tidak merembet ke layanan lain. Masalahnya, tidak ada yang sanggup mengingat puluhan rangkaian karakter acak, dan justru untuk itulah pengelola kata sandi dibuat. Kebiasaan memakai satu pola yang sama di semua akun, misalnya nama anak atau klub bola favorit ditambah tanggal lahir, adalah kebiasaan yang sebaiknya segera ditinggalkan.

Pengelola kata sandi menyimpan data login Anda di brankas terenkripsi yang dibuka dengan satu kata sandi utama, dan sering kali juga dengan sidik jari atau wajah di perangkat tepercaya. Aplikasi ini membuat kata sandi acak yang panjang saat Anda mendaftar atau mengganti kata sandi, lalu mengisikannya otomatis saat Anda login.

Isi otomatis juga diam-diam berfungsi sebagai pelindung dari phishing. Pengelola mencocokkan data login dengan alamat situs yang persis sama, jadi pengelola tidak akan menawarkan kata sandi internet banking Anda di domain tiruan. Jika pengelola tiba-tiba tidak mengenali halaman login yang sering Anda pakai, berhentilah dan periksa alamatnya sebelum mengetik apa pun secara manual.

Kebanyakan pengelola melakukan lebih dari sekadar menyimpan kata sandi. Fitur tambahan yang umum antara lain catatan aman untuk kode cadangan dan detail pemulihan, penyimpanan passkey, peringatan saat kata sandi tersimpan muncul dalam kebocoran data yang diketahui, peringatan tentang kata sandi yang lemah atau dipakai ulang, serta berbagi dengan aman kepada anggota keluarga atau tim.

Enkripsi adalah hal pertama. Carilah enkripsi end-to-end, yang kadang disebut desain zero-knowledge, artinya brankas Anda dienkripsi di perangkat sendiri dan penyedia tidak bisa membacanya. Dokumentasi keamanan yang dipublikasikan dan audit independen adalah tanda baik bahwa perusahaan menganggap serius hal ini.

Berikutnya, pastikan pengelola bisa dipakai di mana pun Anda bekerja: di browser yang Anda gunakan serta di ponsel dan komputer, dengan sinkronisasi yang andal di antara semuanya. Brankasnya sendiri harus mendukung autentikasi dua faktor, idealnya dengan aplikasi autentikator atau kunci keamanan, supaya kata sandi utama yang dicuri saja tidak cukup untuk membukanya.

Terakhir, pikirkan cara keluar sebelum masuk. Pengelola yang baik memungkinkan Anda mengekspor data dalam format standar, sehingga Anda tidak pernah terkunci di satu layanan. Baca apa yang terjadi jika Anda lupa kata sandi utama: sebagian layanan menyediakan kit pemulihan atau kontak tepercaya, sedangkan desain zero-knowledge yang ketat mungkin sama sekali tidak punya cara pemulihan, sehingga lembar darurat yang disimpan dengan aman menjadi wajib.

Browser dan sistem operasi kini sudah dilengkapi pengelola kata sandi yang cukup mumpuni. Pengelola Sandi Google tertanam di Chrome dan Android, perangkat Apple memiliki pengelola kata sandi yang disinkronkan melalui iCloud Keychain, dan Microsoft Edge menyimpan kata sandi ke akun Microsoft Anda. Semuanya tanpa biaya tambahan, sudah ada di perangkat, dan tersinkron otomatis di dalam ekosistemnya masing-masing.

Batasannya justru ada pada ekosistem itu. Jika Anda memadukan iPhone dengan komputer Windows, atau berpindah-pindah di antara beberapa browser, pengelola bawaan mungkin tidak selalu nyaman mengikuti Anda. Pengelola mandiri, termasuk yang ditawarkan penyedia yang berfokus pada privasi seperti Proton, bekerja lintas platform dan browser, serta biasanya menambahkan fitur berbagi yang lebih lengkap, catatan aman, dan pengaturan yang lebih fleksibel.

Pilihan mana pun jauh lebih baik daripada memakai ulang kata sandi. Pilih yang benar-benar akan Anda gunakan setiap hari, dan hindari membagi data login ke beberapa pengelola sekaligus, karena Anda jadi mudah lupa salinan mana yang terbaru.

Kata sandi utama adalah satu-satunya kata sandi yang wajib Anda ingat, jadi buatlah panjang dan mudah diingat, bukan pendek dan rumit. Frasa sandi dari beberapa kata yang tidak saling berhubungan lebih mudah diketik dan jauh lebih sulit ditebak daripada rangkaian simbol yang pendek. Jangan pernah memakainya di tempat lain.

Aktifkan autentikasi dua faktor untuk pengelola kata sandi saat itu juga, dan simpan kode cadangan atau kit daruratnya secara offline, misalnya di atas kertas di tempat aman di rumah. Jika pengelola menawarkan metode pemulihan, siapkan sekarang, bukan setelah Anda terkunci.

Lalu sesuaikan beberapa pengaturan: kunci brankas setelah tidak digunakan beberapa saat, wajibkan kata sandi utama atau biometrik setelah perangkat dinyalakan ulang, dan selalu perbarui aplikasi serta ekstensi browser agar Anda mendapat perbaikan keamanan.

Sebagian besar pengelola bisa mengimpor kata sandi yang tersimpan di browser atau diekspor dari pengelola lain, biasanya dalam bentuk file CSV. File itu berupa teks biasa yang tidak terenkripsi, jadi ekspor, segera impor, lalu hapus, termasuk salinan di folder unduhan dan di tempat sampah atau recycle bin.

Setelah impor selesai, matikan fitur penyimpanan kata sandi bawaan browser jika Anda beralih ke pengelola mandiri, agar login baru tidak tersimpan di dua tempat. Kemudian buka laporan keamanan di pengelola dan mulai perbaiki kata sandi yang lemah atau dipakai ulang. Mulailah dari akun email, karena akun email bisa dipakai untuk mereset semua akun lain, lalu lanjutkan ke akun keuangan, pekerjaan, dan media sosial.

Anda tidak perlu mengganti semuanya dalam satu malam. Perbarui setiap kata sandi yang tersisa saat Anda login lagi ke situs tersebut, dan dalam beberapa minggu sebagian besar isi brankas Anda sudah berupa kata sandi unik hasil generator.

Detail login yang Anda terima lewat email, dokumen bersama, atau halaman pesanan sebaiknya masuk ke pengelola kata sandi, bukan ke tangkapan layar atau catatan biasa. Buat entri baru berisi alamat situs, nama pengguna, dan kata sandi, lalu tambahkan email pemulihan, kode cadangan, dan detail penyiapan lainnya di kolom catatan entri tersebut.

Jika Anda membeli akun di rStock, konten yang dikirimkan muncul di halaman pesanan Anda sebagai catatan pengiriman yang terhubung dengan pesanan. Salin ke pengelola kata sandi, lalu ganti kata sandinya dengan yang baru hasil generator, atur opsi pemulihan milik Anda sendiri, dan aktifkan autentikasi dua faktor. Melakukannya sesegera mungkin juga memungkinkan Anda memastikan semuanya berfungsi selagi masih bisa membuka sengketa dalam jangka waktu terbatas setelah pengiriman. Selalu gunakan akun semacam itu sesuai dengan ketentuan penggunaan merek terkait.

Setelah akun aman, hapus salinan lain yang sempat Anda tempel di catatan, chat, atau file teks. Pengelola kata sandi seharusnya menjadi satu-satunya tempat kata sandi terbaru disimpan, sehingga mudah diperbarui dan sulit ditemukan orang lain.