Pengelolaan Secrets

Insiden kebocoran kredensial menjadi salah satu galat paling mahal di dunia perangkat lunak, dan pola penyebabnya hampir selalu sama: kata sandi database atau token API ditulis langsung di dalam kode, lalu terdorong ke repositori Git. Sekali terkomit, kredensial tersebut tertinggal di riwayat Git meskipun barisnya sudah dihapus pada komit berikutnya. Chapter penutup section ini menegaskan satu prinsip: kode boleh dibaca semua orang, kredensial tidak boleh ikut serta.

Mengapa Hardcode Dilarang #

Menuliskan kredensial secara permanen di dalam kode menciptakan tiga masalah sekaligus: siapa pun yang membaca kode dapat memakai kredensial tersebut, pergantian kata sandi menuntut pengubahan kode dan penerbitan ulang aplikasi, dan riwayat Git menyimpan salinan lama yang mudah terlewat. Perhatikan pola yang harus dihindari:

# Contoh yang TIDAK boleh ditiru
koneksi = psycopg.connect(
    host="db.example.com",
    user="budi",
    password="kata-sandi-nyata-tertulis-di-kode",
)

Satu-satunya cara aman setelah pola tersebut terkomit: ganti kata sandi segera. Menghapus berkas atau memaksa riwayat Git ditulis ulang tidak menjamin salinan tidak tersebar, karena kloningan dan fork mungkin sudah dibuat.

Membaca Kredensial dari Environment Variable #

Pola yang benar mengalihkan sumber nilai ke environment variable, seperti yang kita latih di chapter Konfigurasi Environment. Berikut skrip koneksi yang membaca tiga nilai sekaligus dengan penampung eksplisit:

import os

# Ambil kredensial dari environment variable, bukan hardcode.
# Bila variable belum diatur, tampilkan penampung agar jelas nilainya belum disiapkan.
db_host = os.getenv("DB_HOST", "localhost")
db_user = os.getenv("DB_USER", "budi")
db_password = os.getenv("DB_PASSWORD", "YOUR_DATABASE_PASSWORD")

print("host     :", db_host)
print("user     :", db_user)
print("password :", db_password)

if "YOUR_" in db_password:
    print("peringatan: atur DB_PASSWORD sebelum menjalankan pipeline")

Output yang Dihasilkan:

host     : localhost
user     : budi
password : YOUR_DATABASE_PASSWORD
peringatan: atur DB_PASSWORD sebelum menjalankan pipeline

Nilai penampung YOUR_DATABASE_PASSWORD sengaja dipakai sebagai bawaan agar kelalaian langsung terlihat: pipeline berhenti dengan pesan peringatan alih-alih gagal diam-diam di tengah jalan. Begitu variabel disuplai dari luar, hasilnya berubah:

DB_PASSWORD='sandi-uji-lokal' python3 baca_secrets.py

Output yang Dihasilkan:

host     : localhost
user     : budi
password : sandi-uji-lokal

Perhatikan bahwa pemeriksaan "YOUR_" in db_password lolos karena nilai kredensial kini berasal dari luar kode, dan pesan peringatan tidak lagi tercetak.

Menahan .env dari Git #

Berkas .env mempermudah pengembangan lokal, tetapi berkas tersebut wajib dikecualikan dari Git. Buat berkas .gitignore berisi satu baris .env, lalu pastikan aturan tersebut bekerja:

git init
git status --short
git check-ignore -v .env
git add .
git ls-files

Output yang Dihasilkan:

?? .gitignore
?? pipeline.py
.gitignore:1:.env	.env
.gitignore
pipeline.py

Mari kita telaah keluaran tersebut baris demi baris:

1. ?? .gitignore dan ?? pipeline.py: git status --short hanya melaporkan dua berkas yang belum dilacak — berkas .env yang ada di folder tidak muncul karena sudah diabaikan.
2. .gitignore:1:.env .env: git check-ignore -v membuktikan berkas .env cocok dengan aturan pada baris pertama .gitignore.
3. Dua baris terakhir: setelah git add ., daftar berkas terlacik git ls-files hanya berisi .gitignore dan pipeline.py — kredensial di .env tidak pernah masuk repositori.

Sebagai pendamping, komitkan berkas .env.example berisi struktur kunci tanpa nilai rahasia, misalnya DB_PASSWORD=YOUR_DATABASE_PASSWORD, agar anggota tim tahu variabel apa yang harus disiapkan.

Secrets Manager untuk Production #

Di server production, environment variable mentah pun kurang memadai: nilainya terlihat oleh siapa pun yang dapat membuka konfigurasi deployment. Solusi industri adalah layanan secrets manager — sistem khusus yang menyimpan kredensial terenkripsi, mencatat setiap akses, dan memutar kunci secara berkala:

• HashiCorp Vault: menyimpan dan mendistribusikan secrets dengan kebijakan akses per aplikasi; kode meminta kredensial sementara saat dibutuhkan. Dokumentasi: https://developer.hashicorp.com/vault/docs .
• AWS Secrets Manager: layanan AWS untuk menyimpan kredensial dengan rotasi otomatis dan audit melalui CloudTrail. Dokumentasi: https://docs.aws.amazon.com/secrets-manager/ .

Dengan prinsip ini, lingkungan kerja Anda lengkap: Python dan venv siap, dependensi tercatat, database tersiapkan, terminal dikuasai, dan kredensial aman. Section berikutnya, Python untuk Data Engineering, mulai memakai seluruh persiapan tersebut untuk menulis kode pipeline yang sesungguhnya.