Dependency Pinning

Définition

Le Dependency Pinning (épinglage des dépendances) est la pratique de spécifier explicitement et rigoureusement les versions exactes de toutes les dépendances directes et transitives d'un projet logiciel, plutôt que d'autoriser des plages de versions (version ranges) qui pourraient être résolues différemment selon l'environnement ou le moment d'installation. En DevSecOps, le Dependency Pinning est un contrôle de supply chain fondamental car il garantit la reproductibilité des builds — le même code source produit exactement le même binaire, avec les mêmes dépendances, quel que soit le moment où le build est exécuté. La problématique du dependency pinning sans épinglage strict : une dépendance spécifiée comme ">=1.0.0" (npm) ou "^1.0.0" (semver) sera résolue au moment de l'installation vers la dernière version compatible, qui peut changer d'un jour à l'autre. Cette non-déterminisme crée des risques de sécurité : si une version compromise d'une bibliothèque est publiée dans un registre de packages (attaque de supply chain npm, PyPI), un build non épinglé pourrait automatiquement l'inclure sans aucune alerte. Les mécanismes d'épinglage varient selon l'écosystème : npm/yarn utilisent les lockfiles (package-lock.json, yarn.lock) qui fixent les versions exactes de toutes les dépendances transitives et leurs checksums d'intégrité — les lockfiles doivent être committés dans Git. Python utilise pip-compile (pip-tools) pour générer un requirements.txt avec toutes les versions exactes depuis les requirements.in de haut niveau. Go utilise go.sum qui contient les checksums cryptographiques de toutes les dépendances. Maven et Gradle utilisent des dependency locking plugins. L'épinglage des actions GitHub dans les workflows CI/CD par hash de commit (uses: actions/checkout@v4 vs uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11) est une pratique de sécurité critique : épingler par tag est insuffisant (les tags GitHub sont mutables et peuvent pointer vers du code différent) — seul l'épinglage par hash de commit SHA garantit l'immutabilité de l'action utilisée.