Chaîne logicielle

La chaîne logicielle couvre tout ce qui entre dans le produit sans être écrit par l'équipe : dépendances npm, images Docker, actions GitHub, compilateur Solidity. Elle couvre aussi les contrôles automatiques qui empêchent un secret ou une vulnérabilité connue d'atteindre la branche main. Les contrôles sont définis dans .github/workflows/ci.yml, .github/workflows/codeql.yml et .github/dependabot.yml. Le fonctionnement général de la CI est décrit dans Intégration continue et la politique de mise à jour dans Dépendances.

#Vue d'ensemble

#gitleaks

- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262
  with:
    fetch-depth: 0
    persist-credentials: false
- name: Historique Git complet
  run: >-
    docker run --rm -v "$PWD:/repo" zricethezav/gitleaks:v8.30.1
    git /repo --no-banner --redact --config /repo/.gitleaks.toml

fetch-depth: 0 récupère tout l'historique : un secret ajouté puis supprimé dans un commit ultérieur est quand même détecté. --redact masque la valeur trouvée dans le journal de la CI. .gitleaks.toml étend les règles par défaut et n'autorise que deux valeurs publiques, la clé de chiffrement de développement et la clé n°0 de Hardhat, toutes deux refusées par le backend en production.

Le job ne dépend pas du filtre de chemins : il s'exécute sur toute pull request.

#CodeQL

Le workflow CodeQL analyse le langage javascript-typescript avec la suite security-extended, qui ajoute aux requêtes par défaut des règles de sécurité de précision moyenne. Sont exclus : node_modules, les dossiers __tests__ et la bibliothèque tierce frontend-office-tourisme/assets/js/vendor. Le job reçoit uniquement les permissions contents: read, security-events: write et actions: read.

Le code Solidity n'est pas couvert par CodeQL ; il l'est par Slither.

#npm audit

--omit=dev limite l'audit aux dépendances de production. Le seuil plus permissif du projet smart-contract est justifié dans l'ADR 0004 : les alertes hautes viennent de dépendances transitives de @chainlink/contracts (sources OpenZeppelin 4.x non importées, outillage JavaScript), qui n'entrent ni dans le bytecode déployé ni dans le backend.

Toutes les installations de la CI utilisent npm ci, qui respecte strictement le package-lock.json et vérifie les empreintes d'intégrité. La version de Node.js vient de .nvmrc (22).

#Trivy

Après la construction des images, le job docker analyse blocklucky-backend, blocklucky-web et blocklucky-tourisme :

docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:0.76.2 image \
  --quiet --exit-code 1 --ignore-unfixed --severity CRITICAL,HIGH "$image:${{ github.sha }}"

--ignore-unfixed ignore les vulnérabilités sans correctif publié : le job échoue seulement quand une mise à jour existe. L'image de la blockchain locale n'est pas analysée, car elle ne sert qu'au développement et aux tests. Les images elles-mêmes sont construites à partir de bases -slim ou -alpine, exécutées sous un utilisateur non root ; voir Images Docker.

#Slither

smart-contract/scripts/slither.sh lance l'image ghcr.io/crytic/slither:0.11.6, installe solc 0.8.34 et analyse BlockLucky.sol puis BlockLuckyPOAP.sol avec --fail-medium. smart-contract/slither.config.json exclut node_modules, les contrats de test et les constats informatifs ou d'optimisation.

Les constats examinés et acceptés sont consignés dans smart-contract/slither.db.json :

Les raisons ci-dessus résument l'analyse ; la base de triage elle-même ne contient que l'identifiant, le détecteur et la description de chaque constat. Un nouveau constat de niveau Medium ou supérieur fait échouer la CI tant qu'il n'est ni corrigé ni ajouté à cette base. La sécurité du contrat est traitée en détail dans Sécurité du contrat et ses tests dans Tests, fuzzing et couverture.

#Dependabot

Toutes les règles npm portent cooldown.default-days: 5 : Dependabot attend cinq jours après la publication d'une version avant de la proposer. Ce délai laisse à l'écosystème le temps de repérer une version malveillante ou défectueuse, un mode d'attaque fréquent sur npm.

#Sécurité des workflows

#Limites connues