GitHub Actions · GitLab CI · SAST · SCA · Supply Chain · Devis sous 48h

Audit DevSecOps & Pipeline CI/CD

Vos pipelines CI/CD sont devenus une cible privilégiée des attaquants — injection de code malveillant, vol de secrets, compromission de la supply chain logicielle. Nous auditons la sécurité de vos processus de développement, de vos pipelines et de votre chaîne d'approvisionnement logicielle.

Couverture : GitHub Actions, GitLab CI, Jenkins, ArgoCD, Kubernetes, registres de conteneurs, signature des artefacts, secrets management et conformité SLSA.

Demander un devis gratuit Voir le périmètre

Sécurité des Pipelines

Audit des workflows GitHub Actions/GitLab CI : injection dans les variables d'environnement, permissions excessives (GITHUB_TOKEN), actions tierces non épinglées, accès aux secrets en clair dans les logs.

Supply Chain Logicielle

Évaluation de la sécurité de la chaîne d'approvisionnement : dépendances non épinglées, typosquatting npm/PyPI, images de base Docker non signées, registres privés sans scan de vulnérabilités.

Secrets & Credentials

Audit de la gestion des secrets dans les pipelines : Vault, AWS Secrets Manager, GitHub Secrets, variables GitLab CI — rotation, accès, exposition dans les logs et artefacts de build.

Périmètre d'Audit

Pipeline & Orchestration

▸ GitHub Actions : permissions GITHUB_TOKEN, actions épinglées, secrets exposés
▸ GitLab CI : variables protégées, runners partagés, artifact expiry
▸ Jenkins : authentication, autorisation, credentials, plugins vulnérables
▸ ArgoCD / Flux : RBAC, accès Git, synchronisation des secrets
▸ Contrôle des pull requests : branch protection, CODEOWNERS, revues obligatoires
▸ Gates de sécurité : SAST, SCA, scan image Docker — présence et seuils de blocage

Conteneurs & Supply Chain

▸ Images Docker : image de base, utilisateur root, CVE dans les layers, Dockerfile best practices
▸ Registres : accès, scan de vulnérabilités (Trivy, Grype), signatures Cosign/Notary
▸ Dépendances npm/pip/cargo : lock files, versions épinglées, typosquatting
▸ SBOM : génération et traçabilité des composants logiciels
▸ Kubernetes : Pod Security Standards, Network Policies, RBAC, admission controllers
▸ Conformité SLSA : niveau de traçabilité et d'intégrité du build

Notre Méthodologie en 5 Phases

Cartographie DevOps

Inventaire des outils (SCM, CI/CD, registres, orchestrateurs), des environnements et des flux de déploiement de la PR au déploiement en production.

Audit Pipeline

Revue des workflows CI/CD : permissions, secrets, actions tierces, injection de commandes, gates de sécurité manquants.

Scan Supply Chain

Analyse des dépendances (Trivy, Grype, OWASP Dependency-Check), des images Docker et des configurations IaC (Checkov, tfsec).

Audit Kubernetes

Kube-bench (CIS Benchmark), audit RBAC, Network Policies, Pod Security Standards, secrets en clair dans les manifests.

Rapport & Intégration

Rapport + configuration des gates de sécurité recommandées dans vos pipelines pour pérenniser la conformité.

Questions Fréquentes

Un pipeline CI/CD a accès à vos secrets de production (clés cloud, connexions base de données), déploie directement en production et exécute du code arbitraire avec des privilèges élevés. Une compromission du pipeline est souvent plus lucrative qu'une attaque directe de l'application — c'est le principe de l'attaque SolarWinds. Un attaquant qui injecte du code dans votre pipeline peut compromettre silencieusement toutes vos mises en production.

SLSA (Supply-chain Levels for Software Artifacts) est un framework de Google qui définit des niveaux de sécurité pour garantir l'intégrité du logiciel produit. À partir du niveau 2, les builds sont tracés et reproductibles ; au niveau 3, ils sont inviolables. De nombreux clients grands comptes et marchés publics commencent à l'exiger contractuellement. Nous évaluons votre niveau SLSA actuel et proposons une roadmap pour l'augmenter.

Non. Un DevSecOps bien intégré accélère la livraison en détectant les vulnérabilités au plus tôt (shift-left) plutôt qu'en production. Nous configurons les gates de sécurité avec des seuils adaptés à votre tolérance au risque — les vulnérabilités critiques bloquent, les moyennes génèrent des avertissements. Les faux positifs en excès sont la principale cause de friction ; nous les calibrons précisément pour votre codebase.

Oui. EKS, AKS et GKE sont entièrement couverts. Nous utilisons kube-bench (CIS Kubernetes Benchmark), Polaris et des scripts d'audit RBAC pour évaluer les configurations. Les particularités de chaque service managé (IAM for Service Accounts AWS, Workload Identity GKE, Pod Managed Identity AKS) sont prises en compte dans les recommandations.

Nos autres prestations d'audit

Audit Code Source

SAST, Semgrep, secrets, SCA

Audit API (OWASP Top 10)

REST, GraphQL, gRPC, BOLA

Audit Kubernetes

Pods, RBAC, évasion de conteneur

Audit Cloud (AWS/Azure/GCP)

CSPM, IAM, Kubernetes cloud

Audit Application Web

OWASP Top 10, ASVS, XSS, SQLi

Audit Infrastructure

Serveurs, réseau, hardening CIS

Votre pipeline CI/CD pourrait-il être la porte d'entrée d'un attaquant en production ?

L'attaque de la supply chain logicielle est la menace qui a le plus progressé depuis 3 ans. Un pipeline compromis peut injecter du code malveillant dans vos déploiements sans déclencher d'alarme.

Sécuriser mon pipeline DevSecOps