CircleCI Security

Définition

CircleCI Security regroupe l'ensemble des pratiques et configurations de sécurité spécifiques à la plateforme CI/CD CircleCI, utilisée par des milliers d'organisations pour automatiser leurs processus de build, test et déploiement. CircleCI présente des spécificités de sécurité propres à son architecture, notamment suite à l'incident de sécurité majeur de janvier 2023 où des tokens de secrets CircleCI ont été compromis, exigeant une rotation immédiate de tous les secrets stockés sur la plateforme. La gestion des secrets dans CircleCI s'articule autour de plusieurs niveaux de stockage. Les Project Environment Variables sont des secrets liés à un projet spécifique, accessibles uniquement dans les pipelines de ce projet. Les Organization Environment Variables permettent de partager des secrets entre projets d'une organisation. Les Context permettent une gestion fine des secrets avec des contrôles d'accès par groupe d'équipe (Security Groups), permettant de restreindre l'utilisation d'un contexte contenant des secrets de production aux seuls membres du groupe "deploy-production". CircleCI recommande plusieurs bonnes pratiques de sécurité spécifiques à sa plateforme. L'utilisation exclusive des Contexts pour les secrets de production (pas les Project Env Vars qui sont accessibles à tous les contributeurs du projet), l'activation des Restricted Contexts pour limiter les contextes sensibles aux branches protégées uniquement, la rotation régulière des tokens CircleCI eux-mêmes (Personal API Tokens), et l'utilisation de OIDC (OpenID Connect) pour les accès cloud sans secrets statiques. Les pipelines CircleCI peuvent intégrer des outils de sécurité via des Orbs (packages de configuration réutilisables) : des Orbs officiels existent pour Snyk (snyk/snyk@1), OWASP ZAP, Anchore (scan de conteneurs), SonarCloud, et d'autres outils DevSecOps. Ces Orbs simplifient l'intégration de contrôles de sécurité dans les workflows CircleCI. Suite à l'incident de 2023, CircleCI a renforcé ses contrôles de sécurité internes et recommande aux organisations d'adopter une politique de rotation régulière de tous les secrets, même en l'absence d'incident suspect, et de monitorer les accès à leurs contextes via les audit logs disponibles aux plans Enterprise.