Branch Protection

Définition

La Branch Protection (protection des branches) est un ensemble de contrôles de sécurité configurables dans les plateformes Git hébergées (GitHub, GitLab, Bitbucket, Azure DevOps) qui restreignent les opérations autorisées sur les branches importantes d'un dépôt (typiquement main, master, develop, release/*). Ces protections constituent un contrôle de sécurité fondamental dans les pipelines DevSecOps en garantissant que le code déployé en production a subi toutes les validations requises. Les règles de Branch Protection courantes incluent : l'obligation d'une Pull Request avant merge (prevention des pushs directs), le nombre minimum d'approbations de révision de code requises, la résolution obligatoire des commentaires de revue, le statut obligatoire des checks CI (tests, SAST, SCA) avant merge possible, la protection contre la suppression de branches, la protection contre les force-pushs (préservant l'historique), la nécessité d'une signature de commit (GPG ou SSH) pour les branches critiques, et les Linear History uniquement (pas de merge commits). L'implémentation des Branch Protection en tant que code (Protection Rules as Code) est une bonne pratique DevSecOps : les règles de protection sont définies dans des fichiers de configuration versionnés et appliquées via Terraform (ressource github_branch_protection), des API scripts, ou des outils comme Allstar (OpenSSF) qui maintient automatiquement les règles de sécurité sur les dépôts GitHub. Cette approche garantit la cohérence des protections entre dépôts et empêche les modifications manuelles non autorisées. GitHub a introduit les "Rulesets" (règles à portée organisation) qui permettent d'appliquer des règles de protection uniformes sur des groupes de dépôts sans configuration individuelle. Ces Rulesets supportent des conditions basées sur les noms de branches, les patterns de dépôts, et les rôles d'utilisateurs, offrant une gouvernance centralisée des politiques de protection du code. Les Branch Protection Rules s'intègrent dans un programme de sécurité DevSecOps plus large : elles travaillent de concert avec les Required Status Checks (obligeant le passage des contrôles SAST/SCA/tests), les CODEOWNERS (assignation automatique de reviewers), et les Deployment Protection Rules (validation avant déploiement en environnement sensible).