Frontend Standardization Portal 2026

24. Security Scan: Snyk

Snyk adalah platform keamanan developer (developer-first security) yang dirancang untuk mendeteksi, menganalisis, dan memperbaiki celah keamanan (vulnerabilities) pada kode kustom, dependensi pihak ketiga, container image, dan infrastruktur (IaC). Di ekosistem Frontend, Snyk memegang peran vital dalam meminimalkan risiko serangan supply chain dengan memantau celah keamanan pada dependensi NPM/Yarn secara otomatis dan berkelanjutan.

A. Jenis Pemindaian Snyk & Perbandingannya

Snyk menyediakan beberapa pilar pemindaian keamanan yang sangat relevan untuk Frontend Development:

Snyk Open Source (SCA): Memindai file manifes dependensi (package.json, package-lock.json, atau yarn.lock) untuk mendeteksi pustaka pihak ketiga yang memiliki celah keamanan terpublikasi di database kerentanan Snyk.
Snyk Code (SAST): Menganalisis kode kustom yang kita tulis untuk menemukan kerentanan seperti Cross-Site Scripting (XSS), Prototype Pollution, CSRF, atau kebocoran data sensitif secara real-time.
Snyk Container: Memindai base image Docker yang digunakan untuk membangun atau mendistribusikan aplikasi frontend (misalnya Nginx atau Node SSR container).

Berikut perbandingan antara pemindaian menggunakan Snyk dengan npm audit:

Kriteria / Aspek	🕵️ Snyk	📦 npm audit
Cakupan Deteksi	Dependensi Pihak Ketiga (SCA) & Kode Kustom (SAST/Static Analysis).	Terbatas hanya pada dependensi NPM pihak ketiga saja.
Sumber Database	Snyk Intel Vulnerability Database (terkurasi secara aktif dan cepat diperbarui).	GitHub Advisory Database / NPM Registry Advisory.
Resolusi Otomatis	Menyediakan fitur auto-PR untuk upgrade versi, security patch cerdas, dan CLI wizard.	Hanya menyediakan perintah `npm audit fix` yang rawan memicu breaking changes.
Integrasi CI/CD & Cloud	Sangat baik (GitHub Actions, GitLab CI, PR Decoration, Dashboard Web terpusat).	Terbatas pada log konsol di terminal CI, tanpa visualisasi dashboard terpusat.
Akurasi & Kebisingan	Rendah (fokus pada eksploitabilitas riil, didukung rules `.snyk` ignore).	Tinggi (sering kali memblokir build akibat devDependencies yang tidak berdampak pada produksi).

B. Tingkat Keparahan Celah Keamanan (Severity Levels)

Snyk membagi tingkat ancaman berdasarkan skor CVSS (Common Vulnerability Scoring System). Aturan kelulusan Pull Request ditentukan oleh keparahan ini:

Critical (CVSS 9.0 - 10.0): Kerentanan sangat berbahaya yang mudah dieksploitasi tanpa hak akses khusus dan dapat mengakibatkan kebocoran data total atau pengambilalihan aplikasi (e.g., Remote Code Execution). Status PR: Wajib diblokir (Failed).
High (CVSS 7.0 - 8.9): Kerentanan signifikan yang berdampak langsung pada fungsionalitas utama aplikasi (e.g., Prototype Pollution, SQL Injection, XSS pada input utama). Status PR: Wajib diblokir (Failed).
Medium (CVSS 4.0 - 6.9): Kerentanan yang membutuhkan kondisi khusus untuk dieksploitasi atau berdampak terbatas (e.g., Denial of Service yang hanya mempengaruhi proses build lokal). Status PR: Diizinkan merge dengan mitigasi / rencana upgrade.
Low (CVSS 0.1 - 3.9): Kerentanan kecil dengan dampak minimal (e.g., informasi internal yang tidak sensitif bocor pada error log). Status PR: Diizinkan.

C. Panduan Penggunaan Snyk secara Lokal

Developer wajib menjalankan pemeriksaan keamanan secara lokal sebelum membuat Pull Request ke branch utama.

1. Menggunakan Snyk CLI

Instalasi CLI secara global:
```
npm install -g snyk
```
Autentikasi (Satu Kali):
```
snyk auth
```
Langkah ini akan membuka halaman browser untuk menghubungkan mesin lokal Anda dengan akun Snyk organisasi.
Pindai Dependensi Pihak Ketiga (SCA):
```
snyk test
```
Pindai Kode Kustom (SAST):
```
snyk code test
```
Aktifkan Pemantauan Berkelanjutan:
```
snyk monitor
```
Mengirimkan snapshot dependensi ke dashboard Snyk untuk memantau celah keamanan baru secara berkala tanpa perlu menjalankan test manual.

2. Alternatif Cepat: Menggunakan `npm audit`

Jika Snyk CLI belum terpasang, gunakan npm audit untuk verifikasi cepat:

Melihat daftar kerentanan:
```
npm audit
```
Memperbaiki versi yang aman secara otomatis (tanpa merusak kecocokan versi):
```
npm audit fix
```
Memaksa perbaikan versi (hati-hati karena dapat menyebabkan breaking changes):
```
npm audit fix --force
```

D. Alur Integrasi CI/CD & Security Gate

Integrasi Snyk dijalankan secara otomatis pada setiap event Pull Request (PR). Jika terdeteksi kerentanan dengan tingkat High atau Critical, gerbang keamanan (security gate) akan gagal dan memblokir penggabungan kode.

graph TD
    A[Developer push code ke PR Branch] --> B[CI/CD Runner Terpicu e.g., GitHub Actions]
    B --> C[Install Dependencies]
    B --> D[Jalankan Snyk Security Scan CLI]
    D --> E{Apakah terdeteksi kerentanan High/Critical?}
    E -- Ya --> F[Security Gate Gagal & PR Terblokir dari Merge]
    E -- Tidak --> G[Security Gate Lolos & Status CI Hijau]
    
    F --> H[Developer meninjau laporan detail di PR / Snyk Dashboard]
    H --> I[Lakukan perbaikan: Upgrade package / Snyk Ignore]
    I --> A

E. Panduan Mitigasi & Mengatasi Isu Keamanan (Best Practices)

1. Melakukan Upgrade Paket Secara Aman

Selalu gunakan saran versi aman yang direkomendasikan oleh Snyk CLI.
Lakukan upgrade secara terarah untuk paket yang bermasalah saja untuk memperkecil risiko regresi:
```
npm install nama-paket@versi-aman
```
Jalankan seluruh rangkaian unit test lokal setelah melakukan upgrade dependency untuk memastikan tidak ada perubahan perilaku aplikasi yang tidak terduga.

2. Konfigurasi Pengabaian Kerentanan (`.snyk`)

Apabila terjadi situasi khusus di mana kerentanan tidak bisa langsung diperbaiki (misal: belum ada patch dari penyedia paket, atau celah keamanan tersebut tidak dapat dieksploitasi karena library hanya digunakan di lingkungan pengembangan/build), Anda dapat membuat aturan pengabaian (ignore rules).

Buat file .snyk di root folder proyek:

# Snyk ignore rules
version: v1.25.0
ignore:
  # Identifikasi ID Celah Keamanan Snyk
  'SNYK-JS-LODASH-568390':
    - '*':
        reason: 'Lodash hanya digunakan sebagai library build-time di webpack config, celah keamanan ini tidak berdampak pada client-side runtime.'
        expires: 2026-12-31T00:00:00.000Z

Aturan Penting Pengabaian (.snyk):
- Reason: Setiap aturan ignore harus menyertakan alasan teknis yang kuat dan dapat dipertanggungjawabkan.
- Expires (Masa Kadaluarsa): Wajib menentukan masa berlaku pengabaian (maksimal 30-90 hari). Ini memastikan tim secara rutin meninjau kembali pustaka tersebut di masa depan.
- Persetujuan: Pengabaian permanen (tanpa expiration date) atau untuk kerentanan kategori Critical harus disetujui secara tertulis oleh Tech Lead atau Security Engineer.

3. Mencegah Penumpukan Dependensi (Dependency Bloating)

Hindari menginstal pustaka besar jika Anda hanya memerlukan sedikit utilitas darinya. Contoh: lebih baik menulis fungsi helper custom yang ringkas dibanding menginstal seluruh pustaka utility pihak ketiga yang besar.
Gunakan alat bantu seperti Bundlephobia sebelum menginstal pustaka untuk menilai pengaruh ukuran bundle terhadap kinerja frontend Anda.

F. Referensi Tambahan

Snyk User Documentation: Panduan komprehensif konfigurasi, perintah CLI, dan integrasi repositori.
Snyk Vulnerability Database: Database publik untuk mengecek detail kerentanan CVE/CWE dan taksonomi ancaman.
OWASP Top 10 Security Risks: Referensi standar industri mengenai 10 celah keamanan aplikasi web yang paling kritis.