Required Reviewers

Définition

Les Required Reviewers (relecteurs obligatoires) sont une fonctionnalité de contrôle d'accès aux dépôts Git (GitHub CODEOWNERS, GitLab Approval Rules) permettant d'imposer qu'une ou plusieurs personnes spécifiques (ou membres d'une équipe) approuvent une Pull Request avant qu'elle puisse être fusionnée (merged). Dans un contexte DevSecOps, les Required Reviewers constituent un contrôle humain indispensable pour les changements de code touchant aux zones sensibles de sécurité — authentification, gestion des secrets, configurations de sécurité, et infrastructure critique. Le mécanisme CODEOWNERS (GitHub, GitLab, Bitbucket) associe des fichiers ou répertoires spécifiques à des propriétaires de code obligatoires : un fichier CODEOWNERS versionné dans le dépôt définit que tout changement dans .github/workflows/ requiert l'approbation de l'équipe @security-team, que tout changement dans src/auth/ requiert l'approbation du Security Champion @alice-security, et que tout changement dans terraform/production/ requiert l'approbation du @platform-team. Ces règles sont appliquées automatiquement par la plateforme Git : les PRs touchant ces chemins ne peuvent pas être mergées sans les approbations définies. Les Required Reviewers pour la sécurité complètent les contrôles automatisés (SAST, SCA, secret scanning) en apportant le jugement humain nécessaire pour des aspects de sécurité que les outils ne peuvent pas évaluer : la logique de contrôle d'accès (le code permet-il une escalade de privilèges subtile ?), les implications architecturales de sécurité (cette modification crée-t-elle une dépendance sur un service externe non fiable ?), et la conformité aux politiques de sécurité de l'organisation (ce traitement des données personnelles respecte-t-il le RGPD ?). La configuration des Required Reviewers doit équilibrer la rigueur sécuritaire et la vélocité de développement : trop de zones sensibles avec des exigences de review strictes ralentissent inutilement les livraisons, trop peu laissent des zones critiques sans contrôle humain. Une approche basée sur le risque (zones d'authentification et d'autorisation = review obligatoire de l'expert sécu, zones moins critiques = review d'un Security Champion de l'équipe) optimise le rapport contrôle/vélocité.