Pengantar
GraphQL merupakan teknologi API modern yang memungkinkan client meminta data sesuai kebutuhan. Fleksibilitas ini membuat GraphQL populer dalam pengembangan aplikasi web dan mobile.
Namun, fleksibilitas tersebut juga menghadirkan tantangan keamanan. Query yang terlalu kompleks, authorization yang lemah, batching, injection, dan introspection yang tidak dikontrol dapat meningkatkan risiko serangan terhadap API.
OWASP menjelaskan berbagai risiko tersebut sekaligus memberikan rekomendasi mitigasi untuk implementasi GraphQL yang lebih aman (dikutip dari: https://cheatsheetseries.owasp.org/cheatsheets/GraphQL_Cheat_Sheet.html).
baca juga : Attribute-Based Access Control (ABAC): Cara Kerja dan Perannya dalam Keamanan Akses Modern
Apa Itu GraphQL Security?
GraphQL Security adalah serangkaian metode untuk melindungi GraphQL API dari penyalahgunaan, akses tidak sah, kebocoran informasi, dan serangan yang dapat menghabiskan resource server.
Berbeda dengan REST API yang biasanya memiliki banyak endpoint, GraphQL sering menggunakan satu endpoint untuk menangani berbagai query dan mutation.
Karena client memiliki kebebasan menentukan data yang diminta, server harus memastikan bahwa setiap query telah melewati proses authentication, authorization, validasi, dan pembatasan resource.
Ancaman Keamanan pada GraphQL
Broken Authorization
Authentication hanya memastikan identitas pengguna. Setelah pengguna berhasil login, aplikasi masih harus menentukan apakah pengguna tersebut memiliki hak untuk mengakses resource tertentu.
Sebagai contoh, seorang pengguna mungkin telah berhasil login tetapi tidak seharusnya dapat membaca data pengguna lain.
Karena itu, authorization harus diterapkan pada resolver dan object yang sensitif. OWASP juga menekankan pentingnya menerapkan kontrol authorization pada implementasi GraphQL (dikutip dari: https://cheatsheetseries.owasp.org/cheatsheets/GraphQL_Cheat_Sheet.html).
Query Denial-of-Service
GraphQL memungkinkan pengguna membuat query dengan struktur bertingkat. Query yang sangat dalam atau kompleks dapat membutuhkan resource CPU, memory, dan database yang besar.
Jika tidak dibatasi, kondisi ini dapat dimanfaatkan untuk menyebabkan penurunan performa hingga denial-of-service.
Beberapa metode yang dapat digunakan adalah:
- Membatasi kedalaman query.
- Membatasi kompleksitas query.
- Menggunakan pagination.
- Menerapkan timeout.
- Membatasi jumlah data.
- Menggunakan rate limiting.
baca juga : Use-After-Free (UAF): Memahami Celah Memory Corruption yang Berbahaya
Batching Attack
GraphQL dapat digunakan untuk mengirim beberapa operasi dalam satu HTTP request, tergantung implementasi server.
Fitur tersebut dapat disalahgunakan untuk melakukan banyak percobaan dalam satu request, termasuk brute-force terhadap operasi tertentu.
Karena itu, server dapat menerapkan pembatasan jumlah operasi atau object yang dapat diproses dalam satu request.
Injection
GraphQL bukan penyebab langsung SQL Injection atau command injection. Risiko muncul ketika input dari GraphQL diteruskan secara tidak aman ke database atau sistem lain.
Input dari pengguna tetap harus dianggap tidak terpercaya.
Developer perlu menggunakan validasi input dan mekanisme query database yang aman agar input GraphQL tidak berubah menjadi perintah yang berbahaya.
Introspection dan Schema Exposure
Introspection merupakan fitur GraphQL yang memungkinkan client mengetahui informasi mengenai schema API.
Fitur ini berguna bagi developer karena dapat membantu memahami type, field, query, dan mutation yang tersedia.
Spesifikasi GraphQL mendefinisikan introspection sebagai bagian dari kemampuan standar GraphQL (dikutip dari: https://spec.graphql.org/September2025/#sec-Schema-Introspection).
Namun, schema yang terbuka kepada pihak yang tidak berwenang dapat memberikan informasi tambahan mengenai struktur API.
Karena itu, organisasi perlu mengevaluasi apakah introspection perlu tersedia secara publik pada environment production.
Cara Mengamankan GraphQL API
Terapkan Authentication dan Authorization
Authentication dan authorization harus menjadi bagian utama dari keamanan GraphQL.
Authentication memastikan pengguna telah dikenali. Authorization kemudian menentukan resource dan operasi apa yang boleh dilakukan pengguna tersebut.
Jangan hanya mengamankan endpoint /graphql. Resolver yang menangani data sensitif juga harus memiliki pemeriksaan permission.
Batasi Query Complexity
Server sebaiknya memiliki batas terhadap query yang terlalu dalam atau mahal untuk diproses.
Beberapa mekanisme yang dapat digunakan adalah:
- Query depth limit.
- Query complexity limit.
- Maximum response size.
- Pagination.
- Timeout.
- Rate limiting.
Penggunaan beberapa mekanisme sekaligus dapat memberikan perlindungan yang lebih baik.
Validasi Input
Semua input dari client harus divalidasi sebelum diproses oleh resolver.
Validasi menjadi semakin penting ketika input diteruskan ke database, sistem operasi, file system, atau service internal.
Gunakan parameterized query atau ORM yang aman ketika GraphQL berkomunikasi dengan database.
Batasi Batching
Jika aplikasi tidak membutuhkan batching dalam jumlah besar, jumlah operasi yang dapat dikirim dalam satu request dapat dibatasi.
Pembatasan ini membantu mengurangi risiko penyalahgunaan API, terutama pada endpoint yang menjalankan proses autentikasi atau operasi sensitif.
Kelola Introspection
Introspection tidak selalu harus dimatikan. Keputusan tersebut bergantung pada kebutuhan aplikasi.
Untuk environment development, introspection biasanya sangat membantu developer.
Sementara pada production, akses introspection dapat dibatasi berdasarkan authentication, role, atau kebutuhan tertentu.
GraphQL Security Checklist
Sebelum GraphQL API digunakan di production, pastikan beberapa hal berikut telah diperiksa:
- Authentication telah diterapkan.
- Authorization diterapkan pada resolver.
- Input telah divalidasi.
- Query depth telah dibatasi.
- Query complexity telah dikontrol.
- Pagination telah diterapkan.
- Rate limiting tersedia.
- Batching telah dikontrol.
- Introspection telah ditinjau.
- Error response tidak membocorkan informasi sensitif.
- Logging dan monitoring telah tersedia.
Checklist tersebut dapat digunakan sebagai pemeriksaan dasar sebelum GraphQL API dipublikasikan.
baca juga : Read Replica vs Master-Master Replication: Mana yang Lebih Tepat untuk Database Skala Besar?
Kesimpulan
GraphQL memberikan fleksibilitas besar kepada client dalam menentukan data yang ingin diterima. Namun, fleksibilitas tersebut juga membuat keamanan API menjadi lebih kompleks.
Beberapa risiko yang perlu diperhatikan adalah broken authorization, query denial-of-service, batching attack, injection, dan schema exposure melalui introspection.
Keamanan GraphQL sebaiknya diterapkan secara berlapis melalui authentication, authorization, input validation, query complexity limit, pagination, rate limiting, batching control, dan monitoring.
Dengan konfigurasi yang tepat, GraphQL dapat digunakan untuk membangun API modern yang fleksibel sekaligus memiliki perlindungan keamanan yang lebih baik.
