Login saya memakai Google/Microsoft (SSO). Bisa?

Login SSO dan MFA tidak bisa diotomatisasi. Pakai akun uji dengan email + kata sandi, atau salin token/cookie sesi ke jenis Header atau Cookie.

Halaman cek login saya selalu menjawab 200. Kenapa login dianggap gagal?

Banyak aplikasi SPA menjawab 200 untuk alamat apa pun. Bila halaman cek juga terbuka tanpa login, login tidak bisa dibuktikan. Pilih endpoint API yang menjawab 401 tanpa token, atau isi teks penanda yang hanya muncul setelah login.

Scan dengan login: memeriksa halaman setelah masuk

Cara mengatur scan dengan login di Phylex Scan: header token, cookie sesi, formulir login, atau Firebase, plus URL cek dan endpoint API.

Sebagian besar celah ada di area setelah login: dashboard, pengaturan akun, dan API. Scan dengan login (paket Pro ke atas) membuat Phylex masuk sebagai akun uji lalu memeriksa area itu.

Sebelum mulai: siapkan akun uji

Buat akun khusus untuk pengujian, bukan akun admin atau akun milik pelanggan nyata.
Matikan verifikasi dua langkah (MFA) dan CAPTCHA untuk akun ini, atau pakai jenis Header/Cookie.
Bila memakai profil Standar dengan login, scan bisa mengubah atau menghapus data akun uji. Lakukan di staging.

Pilih jenis login

Di tab Aset, buka kartu aset (klik hostname), lalu klik Atur login di kartu Scan dengan login dan pilih:

Formulir login (nama pengguna + kata sandi): untuk aplikasi web klasik (PHP, Laravel, Django, WordPress, Rails). Isi halaman login (mis. /login), nama pengguna, dan kata sandi. Phylex mengisi formulir itu setiap scan, termasuk token CSRF, lalu memakai cookie sesinya. Kolom terdeteksi otomatis; isi nama kolom hanya bila deteksi gagal. Formulir yang dibuat JavaScript tidak didukung.
Firebase (email + kata sandi): untuk aplikasi yang memakai Firebase Authentication. Isi kunci API web Firebase (apiKey di konfigurasi aplikasi, bukan kunci server), email, dan kata sandi akun uji. Isi alamat aplikasi web bila kunci API dibatasi per situs. Token diperbarui otomatis selama scan.
Header (token / API key): untuk API. Contoh: Authorization = Bearer eyJ…, atau X-API-Key. Token yang kedaluwarsa harus diperbarui manual.
Cookie sesi: salin cookie dari browser setelah login (format nama=nilai; nama2=nilai2). Cocok untuk uji cepat; cookie biasanya cepat kedaluwarsa.

URL cek login

Isi halaman yang hanya terbuka setelah login (mis. /akun/profil atau endpoint API yang menjawab 401 tanpa token), dan opsional teks penanda yang hanya muncul setelah login (mis. "Keluar"). Sebelum scan, Phylex membuka halaman itu dengan dan tanpa login. Bila login tidak terbukti, scan tetap berjalan tanpa login, laporan diberi label, dan Anda mendapat email.

Jalur dikecualikan dan URL awal

Jalur yang dikecualikan: halaman yang tidak boleh disentuh scan, misalnya /admin/hapus atau /billing. Jalur logout dan halaman login selalu dikecualikan otomatis.
URL awal / endpoint API: alamat (GET) yang dibuka langsung setelah login. Wajib untuk API, karena endpoint API tidak tertaut dari halaman mana pun. Anda bisa mengimpor dari berkas OpenAPI/Swagger (.json/.yaml); alamat server di berkas diabaikan dan scan selalu ke host aset.

Bagaimana kredensial dijaga

Kredensial dienkripsi dengan Cloud KMS dan tidak pernah ditampilkan lagi setelah disimpan.
Hanya mesin pemindai yang bisa mendekripsi, dan kredensial hanya dikirim ke host aset itu (kata sandi Firebase hanya ke Google). Formulir atau pengalihan ke host lain ditolak.
Nilai kredensial disensor dari semua log dan hasil scan.
Hapus kredensial kapan saja dengan Hapus kredensial; otomatis terhapus saat aset dihapus.

Dipakai untuk scan terjadwal

Centang "Pakai juga untuk scan terjadwal" agar scan berkala ikut login. Bila cek login gagal 2 kali berturut-turut, scan terjadwal berjalan tanpa login sampai kredensial diperbarui.