Pipeline as Code Security

Définition

Le Pipeline as Code Security désigne l'ensemble des pratiques de sécurisation appliquées aux pipelines CI/CD définis sous forme de code (Jenkinsfile, .gitlab-ci.yml, .github/workflows/*.yml, Tekton PipelineRun). En traitant les définitions de pipeline comme du code applicatif — versionnées, revues, testées — les équipes DevSecOps peuvent appliquer les mêmes contrôles de sécurité aux pipelines eux-mêmes qu'aux applications qu'ils buildent. Les pipelines définis comme code présentent des risques de sécurité spécifiques. L'injection de commandes dans les expressions de template (GitHub Actions ${{ env.INPUT }}, GitLab CI variables non sanitisées) peut permettre l'exécution de code arbitraire si des valeurs contrôlées par l'utilisateur (titres d'issues, noms de branches) sont interpolées dans des commandes shell. L'utilisation d'actions ou images Docker de tiers non fixées à un hash de commit expose aux attaques de supply chain si la référence est mutée. Les bonnes pratiques de Pipeline as Code Security incluent : la revue de code obligatoire pour tout changement de workflow (via CODEOWNERS sur .github/workflows/), le pinning de toutes les actions à un SHA de commit (actions/checkout@11bd71901bbe...), la validation des variables d'entrée avant leur interpolation, les permissions GITHUB_TOKEN minimales déclarées explicitement, l'audit des pipelines via des outils spécialisés (StepSecurity Secure Workflows, ActionLint pour les GitHub Actions), et la séparation des pipelines de build (faible privilège) et de déploiement (privilège élevé, déclenchement manuel ou protégé). L'analyse statique des fichiers de pipeline (linting de sécurité) est un domaine en développement rapide : ActionLint (pour GitHub Actions), ShellCheck intégré (pour les scripts shell embarqués), et des règles Semgrep spécifiques aux pipelines CI permettent de détecter les patterns dangereux avant leur déploiement.