Baru 17 jam mencatat, ini yang dicari bot di website kami

Oleh · 13 Oktober 2026 · 2 menit baca

Ilustrasi bot yang mencari file .env, .git, dan .aws di sebuah website, semuanya tidak ditemukan

Mulai 12 Oktober 2026, kami mencatat satu hal di digimasi.com: bot yang datang mencari file yang sebenarnya tidak pernah ada di website ini. Ini catatan dari 17 jam pertama. Datanya masih sedikit, jadi anggap saja ini gambaran awal, belum statistik.

Angkanya

  • 58 permintaan dari 9 alamat IP, tercatat dari 12 Oktober pukul 18.38 WIB sampai 13 Oktober pukul 12.01 WIB.
  • Alamat-alamat itu terdaftar di 7 negara. Itu lokasi servernya, belum tentu lokasi orangnya.
  • 46 dari 58 permintaan datang dari dua alamat saja. Polanya sama: datang, mencoba satu daftar panjang dalam waktu kurang dari sejam, lalu pergi.

Tidak ada yang berhasil. File yang mereka minta memang tidak ada di website kami, jadi semuanya cuma dapat halaman "tidak ditemukan".

Apa yang mereka cari

  • File konfigurasi rahasia (20 permintaan). /.env dan belasan variasinya: /.env.backup, /.env.production, /.env.local, /.env.save. File seperti ini biasanya menyimpan kata sandi database dan kunci layanan pihak ketiga.
  • Folder riwayat kode (19 permintaan). Isi folder /.git/. Kalau folder ini ikut terunggah ke server, siapa pun bisa mengunduh seluruh kode website berikut riwayat perubahannya.
  • WordPress (10 permintaan). /wp-login.php, /xmlrpc.php, dan jalur milik salah satu plugin. Padahal website kami tidak pakai WordPress. Bot tidak peduli: coba dulu, lihat hasilnya belakangan.
  • Kunci cloud dan server (3 permintaan). /.aws/credentials dan /.docker/config.json.
  • Lainnya (6 permintaan). File konfigurasi lain, jalur khas beberapa framework, dan file PHP.

Yang menarik: kunci layanan AI

Tiga permintaan ini yang paling menarik perhatian kami: /.env.openai, /.env.anthropic, dan /.claude/settings.json.

Artinya, kunci layanan AI sekarang sudah masuk daftar incaran bot, di samping kata sandi database dan kunci cloud. Alasannya sederhana: kunci itu bisa langsung dipakai, dan tagihannya jatuh ke pemilik kuncinya.

Cek website Anda sendiri

Semuanya bisa Anda cek sendiri dalam lima menit, di website milik Anda:

  • Buka namadomainanda.com/.env di browser. Seharusnya muncul "tidak ditemukan". Kalau yang muncul malah isi filenya, segera pindahkan file itu dari folder publik, lalu ganti semua kata sandi dan kunci yang ada di dalamnya.
  • Buka namadomainanda.com/.git/HEAD. Seharusnya juga "tidak ditemukan". Kalau muncul teks, berarti folder .git Anda bisa dibuka siapa saja.
  • Jangan taruh file cadangan (.zip, .sql, .bak) di folder yang bisa dibuka dari internet.
  • Simpan kunci layanan, termasuk kunci AI, di pengaturan server, bukan di file dalam folder website. Pasang juga batas pemakaian di akun layanannya, supaya tagihan tidak membengkak kalau kuncinya bocor.
  • Kalau pakai WordPress: batasi percobaan login, aktifkan verifikasi dua langkah untuk akun admin, dan matikan xmlrpc.php kalau memang tidak dipakai.

Catatan soal data ini

Kami hanya mengamati. Semua data berasal dari bot yang datang sendiri ke digimasi.com; kami tidak pernah memindai website orang lain, dan alamat IP tidak kami tampilkan di sini. Alamat yang jelas-jelas menyerang kami laporkan ke AbuseIPDB. Cara kerja lengkapnya ada di halaman metodologi.

Laporan yang lebih lengkap akan kami terbitkan setelah datanya terkumpul beberapa minggu.