CI/CD Pipeline — Conventions et workflows

Ce guide définit les conventions pour créer des pipelines CI/CD robustes et sécurisés. Utilise iac_guardrails_scan pour valider les fichiers de configuration.

Principes fondamentaux

1. Sécurité d'abord

• Jamais de secrets hardcodés dans les fichiers de pipeline
• Utiliser les secrets natifs de la plateforme (GitHub Secrets, GitLab CI/CD Variables)
• Limiter les permissions au minimum nécessaire
• Scanner les dépendances et le code dans le pipeline (dependency_guard, secret_scan)

2. Reproductibilité

• Pinner toutes les versions (actions, images Docker, dépendances)
• Utiliser des lockfiles (package-lock.json, poetry.lock)
• Préférer les tags semver aux branches (actions/checkout@v4, pas @main)
• Utiliser des digests SHA pour les images Docker critiques