Comment sécurisez-vous votre chaîne d'approvisionnement logicielle ?

Contrôlez ce qui entre, ce qui sort, et qui peut changer le pipeline. Épinglez les dépendances avec un lockfile, tirez-les via un proxy ou un miroir interne, et scannez les vulnérabilités connues à chaque build. Générez un SBOM et signez l'artefact produit pour que l'étape de déploiement puisse vérifier la provenance. Verrouillez le système de build lui-même avec des identifiants de courte durée, des branches protégées, une relecture des définitions de pipeline, et des runners éphémères isolés.

Je le vois en trois couches. Les entrées : les dépendances sont épinglées par lockfile et tirées via un proxy interne, comme ça un paquet qui disparaît ou qui est remplacé en amont ne casse ni n'empoisonne un build, et tout est scanné pour les vulnérabilités connues avec une politique qui échoue sur les problèmes de haute gravité qui ont un correctif. Les images de base sont épinglées par digest et reconstruites à intervalles réguliers pour que les correctifs arrivent vraiment. Le build lui-même est de l'infrastructure de production à mes yeux, donc les runners sont éphémères et isolés, la définition du pipeline est protégée et relue comme du code applicatif, et il n'y a aucun identifiant cloud à longue durée de vie, juste des identifiants fédérés de courte durée. Les sorties : chaque artefact reçoit un SBOM et une signature, et l'étape de déploiement vérifie cette signature pour que le cluster refuse tout ce qui ne vient pas de notre pipeline. C'est cette dernière partie que les gens sautent, et c'est celle qui transforme la signature d'une case à cocher en véritable contrôle. La raison pour laquelle j'y tiens, c'est que tout le scan de dépendances du monde ne vaut rien si quelqu'un peut pousser une image directement dans le registre.