Audit Keamanan Mingguan Otomatis (n8n + GitHub Actions)

Masalah

Diminta oleh engineering manager: production belum memiliki security scanning berkala, sementara produk berjalan di atas sebaran microservices, masing-masing dengan service tersendiri — melipatgandakan surface area yang harus dicakup oleh review manual.

Arsitektur

Workflow GitHub Actions berjalan mingguan (cron: '0 0 * * 0', ditambah workflow_dispatch manual) terhadap aplikasi target, menggabungkan SCA (pnpm audit), SAST (Semgrep), dan DAST (Nuclei + OWASP ZAP Baseline). Setiap step scanner berjalan dengan continue-on-error sehingga kegagalan satu tool tidak memblokir proses, dan laporan JSON mentah diunggah sebagai workflow artifact sebelum di-POST ke webhook n8n.

Eksekusi

n8n memformat ulang output scan mentah menjadi laporan berstandar OWASP menggunakan OpenAI, mengonversinya ke PDF via tool internal yang sudah ada, dan mengirimkannya ke Rocket.Chat — mengubah empat dump JSON terpisah menjadi satu laporan yang mudah dibaca tanpa langkah manual di antaranya. Dua masalah sulit yang masih terbuka: DAST saat ini baru memindai header, bukan authenticated routes, dan sebaran microservice mengharuskan coverage scan terus diperluas seiring meluncurnya service-service baru.

Dampak

Production kini memiliki security scan mingguan rutin dengan laporan yang dikirim otomatis, dari yang sebelumnya tidak ada sama sekali.