À quoi ressemble la pipeline de sécurité CI/CD ?
Chaque pull request et build chez amaise passe par des contrôles de sécurité automatisés :
Secret Scanning — Détection des secrets accidentellement introduits dans le code
Build et Lint — Analyse statique du code (SAST) et formatage du code pour tous les composants
Vérification des dépendances — Analyse de la composition logicielle (SCA) avec interruption du build si CVSS ≥ 7
Tests unitaires — par composant
Tests d’intégration — tests d’intégration API parallélisés
Tests E2E — tests de bout en bout basés sur navigateur
Validation de l’infrastructure — scan de sécurité IaC et vérification des bonnes pratiques
Tous les contrôles doivent être réussis avant qu’un PR puisse être fusionné. Un ingénieur senior doit approuver chaque PR. Les pushs directs en production nécessitent l’approbation de la direction technique.
Les déploiements en production créent automatiquement un snapshot de la base de données et exécutent des tests smoke ainsi que des tests E2E.