Setiap workflow otomatis berdiri di atas setumpuk kunci. Satu token WhatsApp Business, satu API key model AI, satu kredensial database, satu OAuth ke Google Sheets. Selama alurnya jalan dan notifikasi masuk tepat waktu, hampir tidak ada yang menengok ke sisi itu.
Yang berubah sepanjang 2026: sisi itu justru yang mulai diincar.
Satu kunci yang membuka semua kunci
Maret lalu, peneliti Pillar Security mengungkap dua celah kritis di n8n: CVE-2026-27577 (skor CVSS 9,4) dan CVE-2026-27493 (skor 9,5). Yang kedua bikin ngilu karena titik masuknya adalah Form node, endpoint yang memang publik dari sananya. Payload cukup dikirim lewat kolom Nama di sebuah form “Contact Us”. Kalau dirantai dengan celah pertama, penyerang bisa membaca variabel N8N_ENCRYPTION_KEY, kunci yang dipakai n8n untuk mengenkripsi kredensial di database. Begitu kunci itu terbaca, seluruh isi lemari ikut terbuka: kunci AWS, password database, token OAuth, API key. Semuanya sudah ditambal di versi 2.10.1, 2.9.3, dan 1.123.22.
Dua minggu setelahnya muncul CVE-2026-33663, severity tinggi, skor 8,5. Ini bukan pengambilalihan server, melainkan sesuatu yang jauh lebih membosankan sekaligus jauh lebih dekat dengan keseharian tim: di Community Edition, pengguna dengan role member biasa bisa memanggil kredensial HTTP generik milik rekan satu instans, karena resolusi kredensial berbasis nama tidak memeriksa kepemilikan. Satu server bersama, satu tim, dan secret bocor antar-anggota. Saran resmi n8n bukan cuma upgrade, tapi juga rotasi kredensial HTTP yang pernah tersimpan di sana.
Kenapa ini urusan bisnis, bukan cuma urusan IT
Pola pemakaian di sini cukup khas. n8n dipasang sendiri di VPS murah, dibiarkan terbuka ke internet supaya webhook bisa masuk, lalu disambungkan ke data yang paling sensitif yang dimiliki perusahaan: nomor WhatsApp pelanggan, alamat email, riwayat order. Praktis, dan memang itu daya tariknya.
Masalahnya, sejak Oktober 2024 seluruh ketentuan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh, termasuk sanksi administratif berupa denda paling tinggi 2 persen dari pendapatan tahunan terhadap variabel pelanggaran. Yang berstatus pengendali data di mata regulasi bukan platform otomasinya, melainkan perusahaan yang menjalankannya. Kalau data bocor lewat workflow, penjelasan “itu bug dari tool-nya” tidak akan menolong siapa pun.
Kebiasaan kecil yang menahan kerusakan besar
Kabar baiknya, sebagian besar mitigasi tidak butuh tim security. Simpan secret hanya di Credentials store, jangan pernah di dalam node Code, node Set, atau di badan expression. Sekali secret nempel di badan workflow, dia ikut ter-export, ikut ke-share ke rekan, ikut nongkrong di file backup.
Perlakukan hak edit workflow setara dengan akses shell ke server. Bukan analogi berlebihan: expression yang bisa lolos sandbox memang berujung eksekusi perintah di host. Lalu satu kredensial untuk satu keperluan, dengan scope sekecil mungkin. Token read-only untuk workflow yang cuma membaca sheet. Kunci rotasi dijadwalkan, bukan menunggu insiden: setelah upgrade besar, setelah ada anggota tim resign, setelah kontrak vendor selesai.
Dan yang paling sering dilupakan: baca log. Otomasi yang gagal diam-diam adalah otomasi yang tidak bisa dipertanggungjawabkan ke siapa pun.
Agent yang bisa bertindak, bukan cuma menjawab
Taruhannya naik lagi begitu workflow berubah jadi AI agent. Agent tidak sekadar membaca data lalu merangkumnya. Dia mengirim, membalas, menghapus, memutuskan langkah berikutnya. Secara praktis dia adalah identitas mesin yang punya wewenang di sistem Anda, dengan kunci yang dititipkan di satu tempat.
Ingin mendalaminya lebih terstruktur? Taalenta punya kelas N8N dan AI Integration untuk Membangun Smart Workflow & AI Agent.
Wewenang sebesar itu sebaiknya tidak digantungkan pada satu API key sakti yang dipakai ramai-ramai. Otomasi yang matang bukan diukur dari berapa banyak pekerjaan yang berhasil dipangkas, tapi dari seberapa tenang tim menjawab pertanyaan sederhana: kalau kunci ini jatuh ke tangan yang salah hari ini, seberapa jauh kerusakannya.
Referensi:
- The Hacker News – Critical n8n Flaws Allow Remote Code Execution and Exposure of Stored Credentials (11 Maret 2026) → thehackernews.com
- GitHub Advisory Database – CVE-2026-33663: n8n Credential Theft via Name-Based Resolution (Community Edition) (25 Maret 2026) → github.com/advisories
- JDIH Kemkomdigi – Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Pasal 57 → jdih.komdigi.go.id