GitHub Actions Security

Description

GitHub Actions sécurisé exige de pinner les actions tierces par SHA de commit (uses: actions/checkout@a5ac7e51), d'utiliser OIDC pour l'authentification cloud sans secrets statiques, de déclarer les permissions minimales (permissions: contents: read) et d'activer le code review des workflows.

Mise en œuvre

Configurer ACTIONS_RUNNER_DEBUG=false, stocker les secrets dans GitHub Secrets ou environments protégés, activer Dependabot pour les actions, et utiliser github.event.pull_request.head.sha plutôt que github.sha pour les PRs externes.

Points clés

• OIDC cloud auth : aws-actions/configure-aws-credentials avec role ARN — zéro secret AWS
• Script injection : toujours passer les données via env:, jamais directement dans run:
• StepSecurity Harden-Runner : audit des sorties réseau des runners