Belajar Git Branching Strategies - Shift-Left Branching & DevSecOps Integration

#Pendahuluan

Setelah di episode 19 kita mempelajari Git Bisect & Debugging Workflow — binary search untuk regression hunting dan branching untuk eksperimen — pada episode ini kita menutup series dengan topik yang semakin kritis: keamanan di branch level. Shift-Left Security berarti menggeser security scanning ke awal development cycle — bukan menunggu sampai production.

Branching strategy yang baik mengintegrasikan keamanan sejak branch pertama dibuat, bukan hanya saat deploy.

#Security Scanning di Branch Level

#Secret Scanning

GitHub Advanced Security dan Gitleaks mendeteksi secrets (API keys, passwords, tokens) yang tidak sengaja di-commit:

gitleaks detect --source . --report-format json

Secret scanning bisa dijalankan sebagai CI check di setiap PR — mencegah secrets masuk ke repository.

#SAST/DAST Scanning

SAST (Static Application Security Testing) menganalisis kode tanpa menjalankannya. DAST (Dynamic Application Security Testing) menguji aplikasi yang sudah berjalan.

on:
  pull_request:
    branches: [main]
jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: github/codeql-action/analyze@v3
  secret-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: gitleaks/gitleaks-action@v2

SAST dan DAST berjalan otomatis saat PR dibuka — developer mendapat feedback keamanan sebelum merge.

#Dependency Scanning & License Compliance

#Dependabot / Renovate Bot

Bot membuat PR otomatis untuk update dependencies:

version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"

Dependabot akan membuat PR seperti deps/update-react-19 secara otomatis. CI berjalan di PR tersebut — jika test passing, PR bisa di-merge.

#Branch untuk Dependency Update

#Branch untuk Compliance & Audit

Untuk produk enterprise yang memerlukan compliance (GDPR, SOC2, HIPAA), branch bisa digunakan untuk track audit trail:

compliance/gdpr-data-retention
compliance/soc2-access-control

Branch naming compliance/* memudahkan identifikasi perubahan yang terkait dengan audit requirements. Branch protection rules memastikan perubahan compliance selalu di-review oleh tim keamanan.

#DevSecOps Pipeline

#Security Gate

Pipeline DevSecOps memiliki security gate — checkpoint keamanan yang harus dilalui sebelum kode bisa di-deploy. Jika secret scanning atau SAST mendeteksi masalah, deploy diblokir.

security-gate:
  needs: [secret-scan, sast, test]
  if: ${{ needs.secret-scan.result == 'failure' || needs.sast.result == 'failure' }}
  run: |
    echo "Security gate failed!"
    exit 1

#Penutup

Pada episode 20 ini — episode terakhir series — kalian telah memahami Shift-Left Branching & DevSecOps:

• Secret scanning (Gitleaks, GitHub Advanced Security) di setiap PR.
• SAST/DAST untuk analisis kode statis dan dinamis.
• Dependency scanning (Dependabot, Renovate) untuk update otomatis dependencies.
• Branch compliance untuk audit trail di produk enterprise.
• DevSecOps pipeline dengan security gate yang memblokir deploy jika ada masalah keamanan.

#Refleksi Akhir Series

Sepanjang 21 episode, kita telah menempuh perjalanan lengkap dari fondasi hingga production:

• Episode 0-2: Prasyarat, sejarah, konsep dasar branching.
• Episode 3-5: TBD, Feature Branch Workflow, PR & Code Review.
• Episode 6-8: GitFlow, GitHub Flow, GitLab Flow.
• Episode 9-12: Release management, hotfix, cherry-pick, rebase interaktif.
• Episode 13-15: Naming convention, long-lived vs short-lived, TBD untuk tim besar.
• Episode 16-20: Branch protection, CI/CD integration, monorepo, debugging, DevSecOps.

Branching strategy bukan tentang menghafal aturan — ia tentang memahami trade-off dan memilih pendekapan yang tepat untuk tim dan produk kalian. Selamat menempuh perjalanan ini, dan semoga kalian bisa membawa praktik branching terbaik ke tim masing-masing!