ANALISIS KEAMANAN CALLBACK PAYMENT GATEWAY TERHADAP REPLAY ATTACK DAN WEBHOOK SPOOFING MENGGUNAKAN PENDEKATAN DEFENSE-IN-DEPTH BERBASIS REDIS

Pertumbuhan transaksi digital memunculkan kerentanan pada arsitektur komunikasi asinkron, khususnya pada integrasi Payment Gateway. Permasalahan utama pada Website PsikoTest adalah rentannya jalur transmisi callback terhadap manipulasi logika bisnis (Webhook Spoofing) dan penggandaan transaksi akibat serangan serentak (Replay Attack) yang memicu kerugian finansial. Penelitian ini bertujuan menganalisis kerentanan tersebut dan mengimplementasikan arsitektur keamanan berlapis (Defense-in-Depth). Sistem dirancang menggunakan kriptografi HMAC-SHA256 pada lapisan jaringan, mekanisme Idempotency Key dan Rate Limiter berbasis Redis pada middleware, serta Database Absolute Lock pada persistensi. Pengujian dieksekusi menggunakan Apache JMeter. Hasil pengujian menunjukkan arsitektur berhasil mengisolasi 100% anomali muatan dan memblokir Webhook Spoofing dengan rata-rata latensi 65,2 ms. Pada simulasi konkurensi tinggi, sistem mencegat 99,00% muatan duplikat di tingkat memori dan memblokir 100% eksploitasi kedaluwarsa waktu di basis data. Pengujian beban puncak 10.000 threads mengonfirmasi sistem secure menekan latensi hingga 60,6% (5.369 ms) dibandingkan sistem rentan (13.632 ms), menjaga throughput pada 94,1 req/s, serta meredam Load Average di angka 1,67. Arsitektur ini terbukti beroperasi secara komplementer untuk mengamankan integritas transaksi dan mencegah kelumpuhan layanan.