ℹ️ Tentang Robot Semesta

1. Apa itu Robot Semesta

Semesta (nama produk yang tampil di UI, judul tab browser: "Semesta — Robot SID Core") adalah web UI internal buat tim yang perlu menjalankan otomasi administratif ke core.sid.id — misalnya bersihkan akun karyawan resign, bikin/ubah role & permission, kelola voucher/diskon, atau export data (organisasi, role, program, lokasi belajar) ke Google Sheets — tanpa harus chat lewat bot Telegram.

Ini bukan sistem baru yang ditulis dari nol untuk web. Semesta cuma menambahkan lapisan UI browser di atas kumpulan script Node.js yang sudah ada (sid-core-automation), dengan safety rail (dry-run wajib, konfirmasi, riwayat) yang sama seperti versi bot.

2. Arsitektur — 2 pintu, 1 mesin

Ada dua "pintu masuk" berbeda ke mesin otomasi yang sama:

Keduanya cuma menjalankan file .js yang sama persis di folder /home/product/sid-core-automation (VPS Contabo) sebagai child process — bukan duplikasi logic. Kalau ada bug/perbaikan di script-nya, otomatis kepakai di kedua pintu.

3. Stack teknis

Mesin otomasi (sid-core-automation)

• Runtime: Node.js, ESM ("type": "module"), plain JavaScript (bukan TypeScript)
• 53 script per September 2026 — resign, role (create/update/rename), voucher/diskon/campaign, program (peserta/PIC/kelompok), organisasi, platform, lokasi belajar, dll
• Dependency inti: googleapis (baca/tulis Google Sheets sebagai "database" input & output) + dotenv
• Integrasi ke SID Core: panggil REST API api.sid.id langsung pakai fetch + Bearer token JWT — bukan browser automation (lihat bagian 4)

Web UI (sidops-web)

• Backend: Node.js + Express (app.js), PM2 process sidops-web, port 3180 (bind ke 127.0.0.1 saja, publiknya lewat Caddy)
• Config-driven: daftar aksi (script/label/deskripsi/timeout/butuh-konfirmasi) dan link sheet terkait didefinisikan sekali di array ACTIONS/SHEETS di backend — frontend murni render dinamis dari /api/actions, gak ada id aksi yang di-hardcode di HTML/JS frontend
• Frontend: vanilla HTML/CSS/JS (tanpa framework), public/index.html + public/app.js
• Reverse proxy: Caddy (/etc/caddy/conf.d/robot.caddy), domain robot.product-sid.us/semesta (alias: sidops.product-sid.us)

4. Kenapa bukan Playwright / browser automation

Login ke core.sid.id dilindungi Cloudflare Turnstile. Semua tool yang meng-attach browser lewat CDP (Chrome DevTools Protocol) — Playwright, Puppeteer, chrome-devtools MCP, dan sejenisnya — secara otomatis men-set navigator.webdriver = true di halaman yang dibuka. Turnstile mendeteksi flag ini dan langsung memblokir verifikasi, walaupun yang mengetik password adalah manusia beneran, bukan bot.

Solusi yang dipakai: script memanggil REST API asli (api.sid.id) secara langsung memakai Bearer token JWT yang diambil manual dari tab Network DevTools milik sesi browser yang sudah login (session manusia asli) — tidak ada proses "login" yang disimulasikan sama sekali oleh script.

5. Auth & token

• SID_CORE_TOKEN (JWT) berlaku ±1 jam, diambil manual dari DevTools tiap sesi kerja — belum ada mekanisme auto-refresh.
• Di web (Semesta): token disimpan di memori server, per sesi browser — tidak pernah ditulis ke disk atau log. Modal token juga mendeteksi environment (Production core.sid.id vs Staging core.staging.sid.id) dari token itu sendiri, dan menampilkan banner peringatan besar sebelum tombol Eksekusi supaya operator tidak salah target env.
• Akses Google Sheets pakai service account terpisah (bukan token user), Editor/Viewer sesuai kebutuhan tiap sheet, semuanya di dalam satu folder Drive "AUTOMATION".
• Aksi yang mengubah data production selalu lewat alur Dry-Run → baca hasil → Eksekusi — tombol Eksekusi baru aktif setelah Dry-Run sukses (window 10 menit).

6. Deploy & isolasi VPS

7. Gotcha yang perlu diketahui