Aplikasi web monitoring smart door lock berbasis Internet of Things (IoT) berfungsi sebagai antarmuka pengguna sekaligus pusat kendali administratif yang rentan terhadap eksploitasi Broken Access Control (BAC). Pengujian awal menunjukkan adanya inkonsistensi penerapan Role-Based Access Control (RBAC) pada antarmuka pengguna, JSON Web Token (JWT) yang tetap aktif setelah logout, tidak adanya batas waktu sesi (idle dan absolute timeout), serta belum diterapkannya pembatasan akses berbasis jaringan. Penelitian ini bertujuan mengevaluasi dan memitigasi kerentanan tersebut melalui penyelarasan RBAC pada frontend, penguatan session management, dan implementasi IP Whitelisting. Evaluasi dilakukan menggunakan metode one-group pretest-posttest berdasarkan standar OWASP ASVS versi 4.0.3 Level 2 dan pemindaian OWASP ZAP. Hasil penelitian menunjukkan peningkatan keberhasilan skenario keamanan dari 65,4% (17 dari 26 skenario) pada pretest menjadi 100% (26 dari 26 skenario) pada posttest. Pemindaian OWASP ZAP pascaimplementasi juga menunjukkan mitigasi kerentanan terkait sesi (cookie). Dengan demikian, penyelarasan RBAC, penguatan session management, dan IP Whitelisting terbukti efektif memitigasi celah Broken Access Control serta meningkatkan keamanan aplikasi web monitoring IoT tanpa mengganggu mekanisme otorisasi sistem.