Pre-commit Security Hooks

Définition

Les Pre-commit Security Hooks sont des scripts exécutés automatiquement par le gestionnaire de hooks Git (ou le framework pre-commit) avant chaque commit, vérifiant que les modifications apportées ne contiennent pas de secrets (credentials, tokens, clés API), de fichiers sensibles, ou d'autres problèmes de sécurité immédiatement détectables. En DevSecOps, les pre-commit hooks représentent le premier filet de sécurité de la chaîne — ils bloquent l'introduction de problèmes de sécurité au moment le plus proche de leur création, avant même que le code n'atteigne un dépôt. Le framework pre-commit (pip install pre-commit) standardise la configuration et le partage des hooks via un fichier .pre-commit-config.yaml versionné dans le dépôt. Cette approche garantit que tous les développeurs d'un projet utilisent les mêmes hooks, dans les mêmes versions, sans configuration manuelle par poste de travail. Les hooks se téléchargent automatiquement depuis leurs sources (GitHub) lors du premier pré-commit install. Les hooks de sécurité essentiels pour un projet DevSecOps incluent : detect-secrets (Yelp) qui maintient une baseline des "secrets" connus dans le dépôt et détecte tout nouveau secret non référencé, gitleaks qui scanne les modifications avec des règles regex pour les patterns de secrets communs (AWS access keys, GitHub tokens, passwords), ou truffleHog qui utilise une analyse d'entropie pour détecter les secrets non-typés. Ces hooks sont complétés par des hooks de qualité de code (flake8, eslint) et de formatage (black, prettier) qui constituent le "shift-left" complet. La gestion des faux positifs dans les pre-commit hooks est cruciale pour l'adoption : trop de faux positifs poussent les développeurs à désactiver les hooks. detect-secrets gère les faux positifs via une baseline (detect-secrets baseline .secrets.baseline — initialise la liste des "faux positifs" connus à ignorer), et les hooks peuvent être bypassés pour les cas légitimes avec git commit --no-verify (déconseillé mais possible), avec traçabilité dans les logs de commit.