Hashing & enkripsi

Hash itu satu arah — dipakai untuk sesuatu yang cukup dicocokkan. Enkripsi dua arah — dipakai untuk sesuatu yang harus bisa dibaca lagi. Menukar keduanya adalah kesalahan desain yang mahal diperbaiki.

Password

// Cara yang benar: cast, sekali tulis di model
protected function casts(): array
{
    return ['password' => 'hashed'];
}

$user->password = $request->password;    // otomatis di-hash saat disimpan

// Manual, kalau memang perlu
$hash = Hash::make($request->password);

if (Hash::check($request->password, $user->password)) { /* cocok */ }

// Naikkan biaya hash tanpa memaksa semua orang ganti password
if (Hash::needsRehash($user->password)) {
    $user->update(['password' => $request->password]);
}

Kebijakan password

// AppServiceProvider::boot()
Password::defaults(function () {
    return app()->isProduction()
        ? Password::min(12)->letters()->numbers()->uncompromised()
        : Password::min(8);
});

uncompromised() memeriksa password ke basis data kebocoran publik memakai k-anonymity — hanya lima karakter pertama hash yang dikirim, jadi password pengguna tidak pernah keluar dari servermu. Ini satu method yang mencegah pemakaian password yang sudah bocor di tempat lain.

Enkripsi

$rahasia = Crypt::encryptString($nomorKtp);
$asli    = Crypt::decryptString($rahasia);

// Lebih rapi: cast, supaya seluruh aplikasi tidak perlu tahu
protected function casts(): array
{
    return [
        'nomor_ktp' => 'encrypted',
        'metadata'  => 'encrypted:array',
    ];
}

Data terenkripsi yang tetap perlu dicari

// Dua kolom: satu untuk ditampilkan, satu untuk dicocokkan
Schema::table('pelanggan', function (Blueprint $t) {
    $t->text('nomor_ktp');            // encrypted
    $t->string('nomor_ktp_hash', 64)->index();
});

protected static function booted(): void
{
    static::saving(function (Pelanggan $p) {
        // Hash deterministik dengan kunci — bukan hash password, jadi cepat itu wajar
        $p->nomor_ktp_hash = hash_hmac('sha256', $p->nomor_ktp, config('app.key'));
    });
}

Pelanggan::where('nomor_ktp_hash', hash_hmac('sha256', $cari, config('app.key')))->first();

Mengelola APP_KEY

1. Simpan di penyimpanan rahasia (AWS Secrets Manager di Fase 9), bukan di berkas .env yang ikut ke image.
2. Kunci yang berbeda untuk setiap lingkungan — lokal, staging, produksi.
3. Jangan pernah menggantinya tanpa rencana rotasi: seluruh data terenkripsi jadi tidak terbaca dan semua sesi berakhir.
4. Untuk rotasi sungguhan, Laravel mendukung APP_PREVIOUS_KEYS supaya data lama masih bisa dibaca sementara data baru memakai kunci baru.

APP_KEY=base64:kunci-baru
APP_PREVIOUS_KEYS=base64:kunci-lama