--- title: "Scan Kerentanan Website Sendiri dengan Nuclei" description: "Cara memakai Nuclei untuk memindai website milikmu sendiri secara legal, membaca hasilnya, menjaga server tetap ringan, dan menjadwalkan scan rutin." url: "https://nivelva.com/insight/scan-kerentanan-website-nuclei" category: "Keamanan/Cyber Security" tags: ["nuclei","vulnerability scan","keamanan website","projectdiscovery","scan rutin"] author: "Theresia Candiawan" published: "2026-11-07T05:29:00+07:00" updated: "2026-11-07T05:29:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Scan Kerentanan Website Sendiri dengan Nuclei > **Jawaban singkat:** Nuclei adalah pemindai kerentanan open source dari ProjectDiscovery yang bekerja dengan template YAML. Pakai hanya pada sistem milikmu atau yang sudah diizinkan, mulai dari severity tinggi, batasi laju permintaan dengan -rl, cek ulang setiap temuan secara manual, lalu jadwalkan scan rutin. Kamu bisa memindai kerentanan website sendiri dengan Nuclei: pasang alatnya, perbarui template, jalankan pada domain milikmu dengan laju permintaan yang dibatasi, lalu periksa setiap temuan sebelum bertindak. Kenapa ini penting? Bot pemindai di internet tidak menunggu izin. Mereka mencari panel admin yang terbuka, file konfigurasi yang bocor, dan versi software yang punya celah terkenal. Kalau kamu menjalankan pemeriksaan serupa lebih dulu, kamu menemukan masalah itu sebelum orang lain memanfaatkannya. ## Apa itu Nuclei? Nuclei adalah pemindai kerentanan open source buatan ProjectDiscovery. Mesinnya sendiri tidak "tahu" celah apa pun. Pengetahuannya ada di **template**, yaitu file YAML yang menjelaskan permintaan apa yang dikirim dan respons seperti apa yang dianggap temuan. Template resmi dikumpulkan di repositori `nuclei-templates` di GitHub, dikurasi komunitas, berlisensi MIT. Isinya dikelompokkan per jenis, misalnya `http`, `dns`, `network`, `ssl`, dan `cloud`, dengan tag seperti `cve` untuk celah yang sudah punya nomor CVE. Karena template ditambah terus, hasil scan hari ini bisa berbeda dengan bulan lalu walau websitenya sama. ## Kapan scan dianggap legal? Aturannya sederhana: **pindai hanya sistem milikmu, atau sistem yang pemiliknya sudah memberi izin tertulis.** Domain kantor yang kamu kelola, server klien dengan kontrak yang jelas, atau lingkungan uji milik sendiri termasuk aman. Domain pesaing, website pemerintah, atau aplikasi pihak ketiga yang kebetulan kamu pakai jelas tidak. Perhatikan juga hosting bersama dan layanan pihak ketiga di depan websitemu, seperti CDN atau WAF. Scan yang agresif bisa terbaca sebagai serangan oleh penyedia tersebut dan berujung blokir IP atau peringatan. Baca ketentuan layanan penyedia hostingmu, dan bila ragu, kabari mereka sebelum memindai. > **Simpan bukti izin:** > > Kalau kamu memindai sistem milik klien atau anak perusahaan, simpan izin tertulis yang menyebut domain, rentang IP, dan jadwal scan. Dokumen ini melindungimu bila ada yang mempertanyakan lalu lintas tersebut. ## Langkah dasar menjalankan Nuclei Dokumentasi resmi menyediakan beberapa cara pemasangan: biner siap pakai dari halaman rilis GitHub, `go install` (butuh Go terpasang), Homebrew, dan image Docker `projectdiscovery/nuclei`. Jalankan dari komputer kerja atau VPS terpisah, bukan dari server produksi yang sedang kamu pindai. 1. Pasang Nuclei, misalnya `go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest`. 2. Perbarui template dengan `nuclei -ut`. Perbarui mesinnya sesekali dengan `nuclei -up`. 3. Mulai dari temuan paling penting: `nuclei -u https://domainmu.com -s critical,high -rl 20 -o hasil.txt`. 4. Untuk banyak domain, tulis satu domain per baris di file lalu pakai `-l daftar.txt`. 5. Setelah nyaman, lebarkan ke severity `medium` dan `low`, atau pilih tag tertentu dengan `-tags`. Flag `-s` (atau `-severity`) menerima nilai `info`, `low`, `medium`, `high`, `critical`, dan `unknown`. Kalau ingin melihat template mana yang akan dijalankan tanpa benar-benar memindai, tambahkan `-tl`. ## Bagaimana supaya server produksi tidak terbebani? Per 4 November 2026, dokumentasi Nuclei mencantumkan nilai bawaan `-rl` (rate limit) 150 permintaan per detik, `-c` (template paralel) 25, dan `-bs` (host paralel per template) 25. Untuk website bisnis kecil di shared hosting atau VPS kecil, angka bawaan itu bisa terasa berat. Beberapa kebiasaan yang membantu: - **Turunkan `-rl`** ke angka kecil dulu, misalnya belasan atau puluhan per detik, lalu naikkan perlahan sambil memantau beban server. Menurut dokumentasi, `-rl` lebih diutamakan daripada `-c` dan `-bs`, jadi ini rem utamamu. - **Pilih jam sepi**, misalnya malam hari, dan beri tahu tim yang memantau server supaya lonjakan log tidak dikira serangan. - **Pakai `-timeout` dan `-retries`** secukupnya. Bawaannya 10 detik dan 1 kali ulang. - **Uji dulu di staging** bila ada. Template tertentu mengirim permintaan yang bisa memicu error di aplikasi yang rapuh. ## Membaca hasil scan dengan kepala dingin Setiap baris temuan menyebut ID template, protokol, tingkat severity, dan URL yang cocok. Severity berasal dari template, bukan dari penilaian konteks bisnismu. Celah `high` di halaman uji yang tidak dipakai bisa lebih ringan dampaknya daripada temuan `medium` di halaman login pelanggan. | Severity | Contoh jenis temuan | Yang sebaiknya dilakukan | |:--|:--|:--| | critical / high | Versi software dengan CVE yang bisa dieksploitasi dari jauh, panel admin tanpa autentikasi | Verifikasi hari itu juga, tambal atau tutup akses | | medium | Konfigurasi lemah, file sensitif yang bisa diunduh | Jadwalkan perbaikan dalam siklus pembaruan berikutnya | | low / info | Header keamanan belum lengkap, informasi versi terlihat | Catat, perbaiki saat merapikan konfigurasi | Anggap setiap temuan sebagai **dugaan** sampai kamu memeriksanya. Buka URL-nya, cek versi software yang sebenarnya, dan baca referensi di template. Positif palsu bisa terjadi, misalnya saat WAF atau halaman error kustom memberi respons yang kebetulan cocok dengan pola template. Untuk dokumentasi, ekspor hasil dengan `-jsonl`, `-me` (Markdown), atau `-se` (SARIF). Format JSONL enak diolah skrip atau dimasukkan ke dasbor, sedangkan Markdown nyaman dilampirkan ke tiket perbaikan. ## Menjadwalkan scan rutin Scan sekali lalu dilupakan kurang berguna, karena template baru muncul dan websitemu juga berubah. Pola sederhana yang banyak dipakai: perbarui template, scan dengan severity tinggi, simpan hasil bertanggal, lalu bandingkan dengan hasil sebelumnya. Di VPS terpisah, cron mingguan sudah cukup sebagai awal, misalnya: ```bash 0 2 * * 1 nuclei -ut -silent && nuclei -l /opt/scan/daftar.txt -s critical,high -rl 20 -jsonl -o /opt/scan/hasil-$(date +\%F).jsonl ``` Kalau kamu memakai Kubernetes, dokumentasi resmi juga menyebut Helm chart yang membuat CronJob Nuclei. Apa pun caranya, pastikan ada orang yang benar-benar membaca hasilnya. Laporan yang menumpuk tanpa dibuka tidak menurunkan risiko. Scan otomatis juga bukan pengganti pentest. Nuclei efektif menemukan masalah yang polanya sudah dikenal, tapi tidak memahami logika bisnis aplikasimu. Bedanya dibahas di [SOC, vulnerability scan, dan pentest](https://nivelva.com/insight/soc-vulnerability-scan-pentest). Untuk gambaran pengamanan yang lebih luas, lihat [panduan lengkap keamanan website untuk bisnis](https://nivelva.com/insight/panduan-keamanan-website-bisnis), dan untuk server baru mulailah dari [cara mengamankan VPS baru](https://nivelva.com/insight/cara-mengamankan-vps-baru). ## Pertanyaan yang sering diajukan ### Apakah Nuclei bisa merusak website saat scan? Banyak template hanya mengirim permintaan baca, tapi lonjakan permintaan bisa membebani server kecil dan template tertentu bisa memicu error di aplikasi yang rapuh. Batasi laju dengan -rl, mulai dari severity tinggi, dan uji di staging bila ada. ### Apakah hasil "info" perlu diperbaiki? Tidak selalu. Temuan info biasanya berupa informasi teknologi atau konfigurasi yang terlihat dari luar. Berguna untuk memahami permukaan serangan, tapi prioritaskan critical dan high lebih dulu. ### Bolehkah memindai website yang ada di balik Cloudflare atau WAF lain? Boleh bila websitenya milikmu, tapi WAF bisa memblokir IP pemindai atau mengubah respons sehingga hasilnya kurang akurat. Sebagian admin mengizinkan IP pemindai secara khusus selama jadwal scan. ## Sumber - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/scan-kerentanan-website-nuclei Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com