Sécuriser un pipeline CI/CD : contrôles DevSecOps à vérifier

1. Réduire les permissions du pipeline

Traitez le pipeline comme une identité privilégiée. Séparez les permissions de lecture, de test, de publication et de déploiement; utilisez des environnements protégés pour les étapes sensibles.

Revoyez les actions et dépendances externes utilisées par les workflows. Épinglez les versions selon la politique de votre équipe et documentez les exceptions.

2. Protéger les secrets et les artefacts

Les secrets ne doivent pas être écrits dans le dépôt, les logs ou les artefacts. Préférez un gestionnaire adapté, limitez la portée des jetons et prévoyez leur rotation ou révocation.

Un artefact doit être traçable jusqu’au changement qui l’a produit. Conservez les métadonnées nécessaires et empêchez un workflow non approuvé de remplacer une version destinée à la production.

3. Vérifier le code et les dépendances

Ajoutez les contrôles adaptés au projet : analyse des dépendances, détection de secrets, tests, analyse statique et revue de code. Un résultat doit être classé par gravité et relié à une décision.

Les contrôles automatiques ne remplacent pas la revue des changements sensibles. Les permissions, migrations de données et modifications de configuration méritent une attention spécifique.

4. Tester la reprise et les journaux

Une chaîne sécurisée doit rendre les événements compréhensibles : qui a déclenché le workflow, quel changement a été testé, quel artefact a été publié et quelle approbation a été donnée.

Testez la révocation d’un secret, le blocage d’un workflow non autorisé et la reprise après échec. La procédure doit être accessible aux personnes qui devront intervenir sous pression.

Pour aller plus loin

Commencez par un dépôt représentatif et documentez les écarts. Une amélioration progressive, mesurée par des contrôles vérifiables, est plus défendable qu’une déclaration générale de sécurité ou de conformité.