Merge Request Security

Définition

La Merge Request Security (sécurité des Pull Requests / Merge Requests) désigne l'ensemble des contrôles de sécurité intégrés dans le processus de revue et de fusion des changements de code dans les dépôts Git. Les Pull Requests (GitHub) et Merge Requests (GitLab) sont des points de contrôle naturels dans le cycle de développement DevSecOps où des vérifications automatisées et humaines de sécurité peuvent être intégrées sans friction excessive. Les contrôles automatiques de sécurité sur les Pull Requests constituent la première ligne de défense du Shift-Left. Les intégrations CI/CD déclenchées sur chaque PR exécutent : les scans SAST (Semgrep, CodeQL) qui commentent directement sur les lignes de code vulnérables dans l'interface PR, les scans de secrets (GitLeaks, GitHub Secret Scanning Push Protection) qui bloquent les PRs contenant des credentials, les scans SCA (Dependabot, Snyk) qui alertent sur les nouvelles dépendances vulnérables, et les scans IaC (Checkov, Terrascan) pour les changements d'infrastructure. La revue humaine de sécurité sur les PRs est assurée par les Security Champions et les CODEOWNERS : pour les changements dans les zones sensibles (code d'authentification, gestion des secrets, configurations d'infrastructure), une approbation d'un expert sécurité est requise avant merge. Cette revue humaine complète les contrôles automatisés pour les problèmes de logique de sécurité que les outils ne peuvent pas détecter. Les configurations de protection des branches (Branch Protection Rules) transforment ces contrôles en gates obligatoires : les PRs sans checks CI verts, sans les approbations requises, ou avec des alertes de sécurité bloquantes ne peuvent pas être mergées. Cette configuration crée un "security gate" au niveau de la PR, empêchant que du code non validé n'atteigne les branches protégées et, par extension, la production.