Intégration CI/CD
Le scan de sécurité dans votre pipeline CI/CD
SecuProbe analyse votre application à chaque livraison. Une action GitHub et une API REST lancent le scan, attendent le résultat et arrêtent le pipeline quand une faille sérieuse est trouvée.
Pourquoi scanner dans le pipeline
La plupart des failles naissent de changements ordinaires : une nouvelle dépendance, un en-tête supprimé lors d'une refonte, un fichier de débogage oublié sur le serveur. Un audit annuel les découvre des mois plus tard. Un scan dans le pipeline les découvre le jour où elles apparaissent, quand le développeur qui a fait le changement en a encore le contexte.
Scanner dans le CI/CD transforme aussi la sécurité en une règle lisible par tous. Le pipeline passe ou échoue, la raison est écrite dans le job, et personne n'a besoin de penser à lancer un outil à la main.
L'action GitHub officielle
L'action GitHub SecuProbe demande deux paramètres : une clé d'API stockée comme secret du dépôt et l'URL à analyser. À chaque exécution, l'action lance un scan, attend qu'il se termine et écrit un résumé dans la page du job GitHub Actions avec le SecuScore, le nombre de failles par gravité et un lien vers le rapport complet.
Le paramètre fail_on_severity fixe le seuil qui fait échouer le job : critical, high, medium ou none. Une équipe qui débute peut n'échouer que sur les failles critiques, puis durcir la règle une fois le retard résorbé. L'action expose aussi l'identifiant du scan, le score et l'URL du rapport pour les étapes suivantes.
Tout autre CI avec l'API REST
Tout système de CI capable d'exécuter curl peut exécuter SecuProbe. Une requête à l'API REST lance un scan et renvoie son identifiant ; une seconde lit l'état et le nombre de failles par gravité. La documentation de l'API contient des exemples de pipeline prêts à copier qui suivent ce schéma.
Les clés d'API ont un périmètre : une clé de pipeline peut être limitée à la création et à la lecture de scans. Les requêtes sont limitées en fréquence par clé, et les limites sont renvoyées dans les en-têtes de réponse.
Ce que vérifie un scan de pipeline
Un scan de pipeline exécute les mêmes modules qu'un scan lancé depuis le tableau de bord : en-têtes de sécurité, configuration SSL/TLS, fichiers sensibles exposés, sécurité DNS et e-mail, bibliothèques front-end obsolètes et CVE connues. Sur un domaine dont vous avez vérifié la propriété, SecuProbe ajoute des tests actifs OWASP Top 10 comme l'injection SQL, le cross-site scripting, le CSRF et les erreurs de configuration CORS.
Nous recommandons de pointer le pipeline vers un environnement de préproduction fidèle à la production, et de vérifier ce domaine une fois. Chaque faille est accompagnée d'une gravité et d'un guide de correction écrit pour les développeurs.
Scans planifiés et alertes
Tous les risques n'arrivent pas avec un commit. Les certificats expirent, de nouvelles CVE sont publiées pour des bibliothèques déjà utilisées, et les enregistrements DNS changent. SecuProbe peut analyser un domaine selon un calendrier et vous prévenir quand le score baisse ou qu'une nouvelle faille apparaît.
Les webhooks transmettent les événements de scan à votre propre adresse, et une intégration Slack les publie dans un canal : le résultat arrive là où l'équipe travaille déjà.
Démarrer en dix minutes
Créez un compte SecuProbe, ajoutez votre domaine et vérifiez sa propriété. Générez une clé d'API dans les paramètres du tableau de bord et stockez-la comme secret dans votre CI. Ajoutez l'action GitHub ou les appels d'API à votre workflow, choisissez la gravité qui fait échouer le build, et poussez. Le premier rapport est disponible dès la fin du job.
L'API REST et l'action GitHub sont comprises dans les offres Pro et Enterprise. Le plan gratuit permet d'essayer le scanner et de lire un premier score avant d'automatiser quoi que ce soit.