CI/CD Pipeline Security

Risques de la CI/CD

• Secrets exposés : clés API, tokens dans les variables d'environnement ou les logs
• Dependency confusion : injection de paquets malveillants via registres publics
• Pipeline poisoning : modification du code de build pour injecter des backdoors
• Runner compromis : exécution de code malveillant sur les build agents

Contrôles recommandés

• Gestion des secrets via Vault/AWS Secrets Manager
• SAST + SCA + DAST dans le pipeline
• Signature des images (Sigstore/Cosign)
• SBOM généré à chaque build
• Branch protection et code review obligatoire
• Runners éphémères (jamais réutilisés)