Tangsel Bug Bounty: Celah Web Pemkot

Diskominfo Tangerang Selatan buka program bug bounty resmi buat nguji keamanan aset web dan API pemda mereka. Targetnya luas mencakup semua subdomain *.tangerangselatankota.go.id, tapi cuma terbatas pada lapisan web aplikasi tanpa ganggu infrastruktur server. Penilaian laporan jalan pada 5 sampai 30 Oktober 2026 dengan sistem first-come first-served buat dapetin poin dan Hall of Fame. Mending langsung cek aturannya sekarang biar gak asal scan dan kena diskualifikasi.

Mengenal Layanan & Gambaran Teknis

Bug bounty resmi ini wadah legal dari Diskominfo Kota Tangerang Selatan buat para security researcher nemuin dan ngelaporin celah keamanan (vulnerability) sebelum dimanfaatin pihak jahat. Alih-alih nge-hack sembarangan, kamu dapet izin resmi buat ngetes website pemerintah daerah selama ngikutin aturan main.

Panduan Langkah Demi Langkah

1. Langkah 1 — Buka portal resmi bounty.tangerangselatankota.go.id di browser dan baca tuntas menu Rules & Guidelines.
2. Langkah 2 — Cek cakupan target (In Scope) yang cuma berlaku buat aplikasi web dan API di domain *.tangerangselatankota.go.id.
3. Langkah 3 — Lakukan pengujian keamanan manual atau terarah tanpa menjalankan DoS, brute force brutal, atau scanning port infrastruktur non-web.
4. Langkah 4 — Bikin dokumen Proof of Concept (PoC — bukti reproduksi celah langkah demi langkah) yang jelas tanpa merusak data atau mengubah konfigurasi sistem.
5. Langkah 5 — Kirim laporan temuan lewat formulir Submit Bounty di web sebelum batas waktu berakhir.

Persyaratan & Kesiapan

• Hanya menargetkan web dan API di domain *.tangerangselatankota.go.id.
• Wajib melampirkan Proof of Concept (PoC) yang valid tanpa mengeksploitasi data lebih jauh.
• Dilarang mempublikasikan temuan ke publik tanpa persetujuan Diskominfo Tangsel.
• Laporan dikirimkan dalam periode 5 s/d 30 Oktober 2026.

Tips Optimalisasi

• Fokus ke celah logika bisnis atau otorisasi (IDOR) pada web service pemda karena scanning header dan port otomatis masuk out-of-scope.
• Kirim laporan secepat mungkin begitu nemu bug valid, karena cuma pelapor pertama (first-reporter) yang dapet skor.

Mitigasi Risiko & Keamanan

• Akun atau IP bisa di-blacklist jika melakukan scanning agresif atau pengujian di luar scope web/API.
• Potensi tuntutan hukum jika nekat melakukan perusakan data, eksfiltrasi data, atau publikasi tanpa izin (unauthorized disclosure).

Kesimpulan & Catatan Penting

Program ini kesempatan bagus buat nambah portofolio security researcher secara legal di instansi pemerintah. Tetap patuhi aturan main responsible disclosure biar temuanmu dihargai dan gak berujung masalah hukum.