Supply Chain Pipeline - Kit DevSecOps fail-closed
DevSecOps • Supply Chain · Production · DevSecOps Engineer • Platform · Lab → kit prod (2026)
Colonne vertébrale CI/CD réutilisable : qualité → sécurité → image Trivy → Harbor → Cosign/SBOM → deploy par digest. Née du lab anti-Megalodon, en prod sur zenora360.com et ketc-services.com.
Problème
Les pipelines CI/CD classiques valident le code puis poussent une image mutable (souvent latest) sans preuve cryptographique ni gate image. Face à Megalodon, à l'empoisonnement npm/crates et au tampering d'images, ce modèle laisse entrer en production ce qu'un attaquant a injecté en amont.
Solution
- Kit reutilisable (.github/ + deploy/) : copier, renommer IMAGE_NAME, brancher les secrets, livrer
- CI fail-closed : Quality, Gitleaks, Hadolint, Sonar QG, dependency-review, CI summary
- Security : Trivy fs/config HIGH-CRITICAL, CodeQL security-extended, ZAP baseline cron
- Release : build local → Trivy image gate → Harbor sha-* → Cosign + SBOM + provenance
- Deploy : refuse latest, Cosign verify avant SSH, pull digest, health/rollback, smoke proxy
- Runtime VPS : Compose + Nginx Proxy Manager + Cloudflare, sans bind hote :80
- Dependabot + actions pinnees SHA + secrets Harbor/SSH/Sonar/Slack hors repo
- Demo UI pedagogique deployee par la chaine elle-meme (dogfooding)
Stack
HTML, CSS, JavaScript, Nginx static demo, GitHub Actions, reusable workflows, Gitleaks, Hadolint, SonarQube, Trivy, CodeQL, OWASP ZAP, Dependabot, Docker, Docker Compose, Harbor, Cosign / Sigstore, SBOM SPDX, attestations, Nginx Proxy Manager, Cloudflare, OVH VPS, Slack