Security Gate

Définition

Un Security Gate est un point de contrôle dans un pipeline CI/CD qui bloque automatiquement la progression d'un build ou d'un déploiement lorsque des critères de sécurité prédéfinis ne sont pas respectés. C'est le mécanisme d'application (enforcement) des politiques de sécurité dans les pipelines DevSecOps : les scans SAST, SCA, DAST, de secrets, et d'infrastructure peuvent produire des résultats, mais sans Security Gate, ces résultats sont informatifs plutôt qu'impératifs. La philosophie du Security Gate découle du principe "fail fast" appliqué à la sécurité : il est préférable d'échouer un build tôt (lors du commit dans la PR) plutôt que de déployer du code vulnérable en production. Un Security Gate bien configuré crée un feedback immédiat pour les développeurs, leur permettant de corriger les problèmes dans le contexte du code qu'ils viennent d'écrire, quand le coût de correction est le plus bas. La configuration d'un Security Gate doit équilibrer sécurité et développabilité. Des gates trop stricts (bloquer sur toute vulnérabilité, même de faible criticité) paralysent les équipes, génèrent du contournement (désactivation du gate, exceptions systématiques), et détruisent la confiance dans les outils. Des gates trop permissifs (laisser passer toutes les vulnérabilités) ne protègent pas réellement. Les bonnes pratiques recommandent : bloquer sur les nouvelles vulnérabilités critiques et hautes introduites par les changements courants, alerter sans bloquer sur les vulnerabilités existantes en cours de traitement, et définir des politiques de dérogation documentées. Les Security Gates se configurent différemment selon les outils. Dans Snyk, on définit une severity threshold et une fail-on policy (new issues only vs all issues). Dans SonarQube, les Quality Gates définissent les seuils de sévérité, de couverture de tests et de code smell pour une nouvelle analyse. Dans GitHub Advanced Security, les code scanning default queries bloquent automatiquement sur les alertes de sévérité critique/haute lors des PR. Les Security Gates doivent être accompagnés d'un processus de remédiation documenté et accessible : les développeurs bloqués par un gate doivent savoir quoi faire, avoir accès à des ressources de formation, et disposer d'un processus d'escalade pour les cas où une dérogation est justifiée.