Panduan Resmi ZippBiz Auditor — SAST & Adversarial Defense Engine

🔒 1. Pengantar & Filosofi Zero-Cloud Upload

Mengapa ZippBiz Auditor menjamin kerahasiaan kode Anda 100% privat

Berbeda dengan scanner komersial umum yang mengunggah kode sumber Anda ke server cloud pihak ketiga, ZippBiz Auditor beroperasi menggunakan arsitektur 100% In-Browser AST Engine. Seluruh proses parsing sintaksis JavaScript, analisis Abstract Syntax Tree (AST), pemindaian regex, hingga dekompresi arsip ZIP berjalan secara lokal di memori peramban Anda.

Bukti Uji Mandiri: Anda dapat membuka halaman ZippBiz Auditor, mematikan koneksi internet (Mode Pesawat / Offline), lalu mengklik "Mulai Audit Kode". Mesin tetap memindai dan menghasilkan laporan lengkap tanpa melempar kegagalan jaringan.

⚡

Instan & Ringan

Memindai ribuan baris kode dalam waktu kurang dari 300 milidetik langsung di peramban Anda.

🛡️

Anti-Data Leak

Tidak ada rahasia API, kunci database, atau algoritma bisnis Anda yang keluar dari mesin lokal.

🎯

Multi-Arsitektur

Mendeteksi otomatis Cloudflare Workers, Next.js Server Actions, Google Apps Script, Node.js, PHP, dan Web Statis.

💎 2. Arsitektur SaaS Poin vs Edisi Self-Hosted

Pilih model penggunaan yang paling efisien untuk kebutuhan tim atau bisnis Anda

ZippBiz Auditor hadir dalam dua varian penggunaan komersial:

☁️

Edisi Cloud SaaS Poin

Diakses langsung melalui zippbiz-auditor.pages.dev atau toko utama. Setiap pemindaian membutuhkan saldo poin:

1.000 Poin: Pemindaian kode tunggal (≤ 10 KB)
3.000 Poin: Proyek menengah (≤ 50 KB)
7.000 Poin: Paket multi-file zip raksasa (> 50 KB)

Poin dapat diisi ulang kapan saja melalui Member Area ZippBiz Store.

📦

Edisi Lisensi Self-Hosted Mandiri

Paket distribusi mandiri (ZippBiz-Auditor-SelfHosted.zip) yang di-deploy ke akun Cloudflare Pages pribadi Anda.

Unlimited Scan: Bebas memindai tanpa batasan poin.
Domain Kustom: Berjalan di bawah domain bisnis Anda sendiri.
Aktivasi 1-Klik: Cukup masukkan lisensi resmi ZippBiz Anda.

📂 3. Format Berkas & Multi-File ZIP Decompression

Dukungan format berkas dan cara mengaudit seluruh repositori proyek

Auditor mendukung inspeksi dua metode input:

Tempel Kode (Paste): Cocok untuk inspeksi kilat satu file seperti _worker.js, Code.gs, atau index.html.
Unggah Berkas / Arsip (.ZIP): Mendukung berkas .js, .ts, .gs, .html, .css, .php, .py, atau file zip lengkap hingga 25MB.
Pilih Folder Proyek Langsung (Native Folder Upload): Memanfaatkan browser webkitdirectory, Anda dapat memilih satu folder proyek lokal utuh (misal: direktori Next.js atau Cloudflare Worker) dan peramban akan langsung memetakan seluruh berkas di memori tanpa perlu membuat file zip.

Fitur Drag-to-Scroll: Saat mengunggah arsip multi-file, daftar file akan ditampilkan dalam tabel berkas responsif lengkap dengan ukuran dan status deteksi. Anda dapat menggeser tabel secara halus menggunakan klik-dan-tarik (mouse drag) atau touch scroll pada layar ponsel.

📊 4. Membaca Laporan Skor & Severity Matrix (P0 - P3)

Memahami tingkat urgensi temuan dan status kelayakan rilis

Setiap sesi audit menghasilkan skor numerik dari 0.0 hingga 10.0 dan mengelompokkan temuan ke dalam 4 level keparahan:

⏱️ Indikator Technical Debt & Estimasi Remediasi: Setiap pemindaian otomatis menghitung beban waktu perbaikan yang dibutuhkan developer untuk mencapai status Platinum (10/10), misalnya "⏱️ Estimasi Remediasi: ~45 Menit (4 Celah)" (P0 = 25 mnt, P1 = 15 mnt, P2 = 5 mnt, P3 = 2 mnt).

P0 — Blocker Kritis

Celah fatal yang langsung mengekspos sistem ke peretasan (misal: SQL Injection mentah, token admin bocor). Rilis DIBLOKIR.

P1 — Risiko Tinggi

TOCTOU Race Condition, dropped writes tanpa await, bypass CORS wildcard, atau null dereference runtime.

P2 — Peringatan WCAG / UX

Pelanggaran kontras teks gaib pada native select (Doktrin 16), tap target sempit (< 44px), atau script CDN tanpa hash SRI.

P3 — Catatan Optimasi

Saran perbaikan performa, struktur CSS, dan penyelarasan standar penamaan variabel.

🛡️ 5. Spektrum 590+ Sensor & Red Team Doktrin

Perlindungan berlapis mencakup backend serverless hingga frontend aksesibilitas

Mesin v9.9 mengintegrasikan 580+ sensor keamanan terpadu yang mematuhi standar Doktrin Red Team ZippBiz:

Doktrin 16 (UI-NATIVE-SELECT-CONTRAST): Mencegah teks opsi dropdown native menjadi putih di atas putih pada tema gelap Windows.
Doktrin 20 (SEC-SAFE-SETTINGS-HYDRATION): Melindungi Cloudflare Worker dari crash TypeError: Cannot read properties of null saat membaca konfigurasi D1.
Doktrin 27 (CONTRACT-FULL-ACTION-PARITY): Memastikan setiap aksi API yang dipanggil frontend memiliki penanganan valid di backend.
Google Apps Script Suite (GAS): Mendeteksi anti-pattern penulisan spreadsheet tanpa LockService (GAS-LOCK), formula injection (GAS-FORMULA-INJ), lonjakan kuota 6 menit akibat openById di dalam loop (GAS-OPEN-BY-ID-LOOP), token bot mentah (GAS-PROPERTIES-SECRET-LEAK), dan pelanggaran isolasi token multi-tenant (GAS-TENANT-TOKEN-BINDING).
OWASP Top 10 Suite: A01 Broken Access Control hingga A10 SSRF terpetakan secara visual dalam matriks kartu status.

📄 6. Ekspor Standar SARIF v2.1.0 & HTML Standalone

Integrasikan hasil audit ke GitHub Security Dashboard atau simpan sebagai sertifikat PDF/HTML

ZippBiz Auditor menyediakan 4 kanal ekspor laporan resmi:

Ekspor SARIF v2.1.0

Format standar OASIS SARIF v2.1.0 yang dapat langsung diunggah ke GitHub Code Scanning atau CI/CD pipeline Anda.

Salin Markdown PR

Ringkasan hasil audit berformat tabel Markdown elegan siap tempel di GitHub PR / GitLab MR / pesan tim.

Unduh CSV Spreadsheet

Ekspor tabel temuan dalam format CSV (Excel / Google Sheets) untuk pelacakan backlog tim QA dan Jira.

Laporan HTML Mandiri

File HTML standalone mandiri tanpa dependensi internet yang memuat skor, Unified Diff, dan PoC adversarial lengkap.

Unduh Lencana SVG (.svg)

Lencana digital dinamis (Platinum/Approved) yang dapat diunduh untuk disematkan pada README.md proyek Anda.

🤖 7. Remediasi Cepat Menggunakan AI Fix Prompt

Perbaiki celah keamanan dalam hitungan detik dengan generator prompt AI terstruktur

ZippBiz Auditor menyediakan dua tingkat otomatisasi remediasi AI:

⚡ Salin Prompt Perbaikan AI (Satuan): Tersedia di setiap kartu temuan untuk menyelesaikan celah spesifik secara terisolasi.
🤖 Salin Master Prompt AI (Perbaiki Semua): Tombol di header hasil audit yang mengonsolidasikan seluruh daftar temuan, nomor baris, dan rekomendasi perbaikan ke dalam satu instruksi komprehensif bagi AI Coding Assistant (Antigravity, Cursor, Claude Code, ChatGPT) untuk merefaktor seluruh proyek sekaligus.

Contoh prompt instruksi teknis yang dihasilkan:

Contoh Format Prompt AI yang Dihasilkan

Tolong perbaiki kerentanan berikut pada kode proyek saya:
- Aturan: SEC-SAFE-SETTINGS-HYDRATION (Doktrin 20 / CWE-476)
- File: _worker.js (Baris 45)
- Masalah: Mengakses settings.admin_session_secret tanpa validasi safeSettings.
- Solusi Rekomendasi:
  const safeSettings = (settings && typeof settings === 'object') ? settings : {};
  const secret = safeSettings.admin_session_secret || '';
          

🚀 8. Panduan Deploy Edisi Self-Hosted ke Cloudflare Pages

Jalankan ZippBiz Auditor di infrastruktur Cloudflare pribadi Anda dalam 3 langkah mudah

Ekstrak arsip ZippBiz-Auditor-SelfHosted.zip yang Anda peroleh dari Member Area.
Buka Cloudflare Dashboard → Compute (Workers & Pages) → Create Application → pilih tab Pages → Upload assets.
Seret folder hasil ekstrak ke dropzone Cloudflare Pages, lalu klik Deploy Site.
Buka URL domain Cloudflare Pages Anda dan masukkan Kunci Lisensi resmi untuk mengaktifkan audit tanpa batas selamanya!

❓ 9. FAQ & Pemecahan Masalah

Pertanyaan umum seputar penggunaan dan konfigurasi ZippBiz Auditor

Apakah ada batasan ukuran file yang bisa diaudit?
ZippBiz Auditor dapat memproses berkas dan paket arsip ZIP hingga 25 MB secara lokal. Untuk performa optimal pada peramban mobile, disarankan memindai modul per folder atau komponen inti.

Apakah saldo poin saya bisa hangus?
Tidak. Saldo poin SaaS di akun ZippBiz Store Anda berlaku permanen tanpa tanggal kedaluwarsa.

Bagaimana cara menguji coba sebelum membeli lisensi?
Gunakan tombol dropdown "Muat Contoh Kode..." lalu pilih "⚠️ Kode Sampel Berisiko (590+ Sensor)" untuk melihat bagaimana mesin mendeteksi kerentanan secara langsung.

Buku Panduan Operasional ZippBiz Auditor