Fiche mémo CI/CD avec GitHub Actions

Avant toute publication (règle de l'Orchestrator)

1. Donnée privée ou secret : cible local, pas de CI vers un hébergement public (ADR 0001).
2. Toute publication passe par /publier-pages : gardien-confidentialite (bloquant) et cyberagent.
3. Une CI qui déploie ne remplace jamais cette revue ; noindex,nofollow sur toute page publique.

Pipeline type

Anatomie d'un workflow

Fichiers dans .github/workflows/*.yml.

Squelette sûr

name: ci
on:
  pull_request:
  push:
    branches: [main]

permissions:
  contents: read

concurrency:
  group: ci-${{ github.ref }}
  cancel-in-progress: true

jobs:
  qualite:
    runs-on: ubuntu-latest
    timeout-minutes: 10
    steps:
      - uses: actions/checkout@<SHA-COMPLET-40-CARACTERES> # v4
      - run: make lint
      - run: make test

  build:
    needs: qualite
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@<SHA-COMPLET-40-CARACTERES> # v4
      - run: make build
      - uses: actions/upload-artifact@<SHA-COMPLET-40-CARACTERES> # v4
        with:
          name: site-demo
          path: dist
          retention-days: 5

make lint, make test, make build supposent un Makefile du projet. Un déploiement dépend toujours (needs) des tests.

Cache ou artefact

GITHUB_TOKEN

permissions:
  contents: read

jobs:
  commentaire:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
    steps:
      - run: echo "Seul ce job peut commenter"

Lecture seule en tête, élargir par job. Réglage des permissions par défaut du dépôt : chemin de menu non vérifié.

Secrets et variables

• Variables (vars) pour le non sensible ; secrets (secrets) pour le reste ; secrets d'environnement pour le déploiement.
• Un secret par valeur (pas de JSON/YAML en secret) ; moindre privilège ; ::add-mask::VALEUR pour une valeur dérivée.
• Passer un secret par env: d'un seul step, jamais par echo.

Supply chain : épingler par SHA

      - uses: actions/checkout@<SHA-COMPLET-40-CARACTERES> # v4

Un tag peut être déplacé ; un SHA complet identifie un contenu précis. Relever le SHA sur le dépôt de l'auteur, le noter avec la version. Compléter par Dependabot, revue des dépendances et CODEOWNERS sur .github/workflows/.

grep -rn "uses:" .github/workflows | grep -v "@[0-9a-f]\{40\}"

• Contexte : Terminal, racine du dépôt de test ; les actions locales (./) apparaissent et sont normales.
• Droits : utilisateur normal, lecture seule.
• Effet : liste les uses: non épinglés par un SHA de 40 caractères ; ne modifie rien.
• Vérification : liste vide (hors actions locales) = tout est épinglé.
• Retour arrière : sans objet.

Injection de script et pull_request_target

      # À éviter : donnée tierce injectée dans le script
      - run: echo "${{ github.event.pull_request.title }}"

      # Préférable : variable d'environnement intermédiaire
      - env:
          TITRE: ${{ github.event.pull_request.title }}
        run: echo "$TITRE"

Environnement protégé et déploiement

  deploiement:
    needs: [qualite, build]
    runs-on: ubuntu-latest
    environment: production
    permissions:
      contents: read
    steps:
      - uses: actions/download-artifact@<SHA-COMPLET-40-CARACTERES> # v5
        with:
          name: site-demo

Règles possibles : relecteurs (jusqu'à 6), temporisation, branches autorisées, contournement des administrateurs. GitHub Free : environnements limités aux dépôts publics (d'après la page) ; offre de Stéphane à vérifier.

Cloudflare Pages en renvoi (cours « Cloudflare ») : deux secrets (identifiant de compte, jeton d'API limité à Pages), commande pages deploy <DOSSIER> --project-name=<NOM-PROJET>. Paramètres exacts de l'action : à relire sur la page.

Pièges fréquents