IMPLEMENTASI DEVSECOPS: MEKANISME HARD-BLOCKING PADA PIPELINE CI MENGGUNAKAN SAST SONARQUBE DAN JENKINS

Dalam ekosistem pengembangan perangkat lunak modern, penerapan metode DevOps sering menghadapkan tim pada dilema antara kecepatan rilis atau jaminan keamanan. Seringkali, aspek keamanan dikesampingkan demi mengejar waktu rilis (time-to-market), dan baru diperiksa setelah aplikasi selesai dibangun. Akibatnya, penanganan celah keamanan menjadi reaktif dan memakan biaya tinggi. Penelitian ini bertujuan mengatasi masalah tersebut dengan menerapkan DevSecOps, yaitu integrasi keamanan sejak dini (shift-left). Infrastruktur sistem diimplementasikan pada lingkungan server virtual terisolasi (isolated virtual environment) yang menjalankan kontainerisasi Docker untuk menjamin integritas pengujian tanpa intervensi dari sistem operasi utama. Jenkins digunakan sebagai orkestrator otomatisasi, sementara SonarQube berfungsi sebagai auditor kualitas kode dengan metode Static Application Security Testing (SAST). Studi kasus dilakukan pada aplikasi web berbasis Python yang memiliki celah keamanan kategori kesalahan konfigurasi (Security Misconfiguration), seperti Hardcoded Credentials, penggunaan algoritma kriptografi usang (MD5), serta penggunaan protokol komunikasi yang tidak terenkripsi (Clear-text Communication). Penelitian ini berfokus pada penerapan mekanisme "Gerbang Keamanan" (Quality Gate) dengan fitur pemblokiran otomatis (Hard-Blocking). Hasil pengujian membuktikan bahwa sistem secara konsisten mampu memblokir proses build dan integrasi kode pada pipeline CI secara otomatis apabila terdeteksi adanya pengaturan keamanan yang berbahaya. Arsitektur DevSecOps yang dibangun terbukti efektif menjamin keamanan aplikasi sebelum proses integrasi dinyatakan berhasil, sekaligus memastikan bahwa keamanan ini tidak memperlambat proses pengembangan.