Inutile de créer des conventions sans automatisation
Retours d’expérience de la communauté
GitHub Actions : “Good Intentions Don’t Work, Mechanisms Do”
François-Guillaume Ribreau
Avant l’application du principe
L’approche reposait sur des intentions : encourager les développeurs à utiliser des actions Github sécurisées, sans les y contraindre.
Aucune vérification n’était imposée sur le type d’action utilisée, ni sur la présence d’un hash ou d’une provenance approuvée.
Des actions référencées par tag mutable passaient en production sans alerte, exposant les workflows à des modifications silencieuses.
L’absence de mécanisme technique ouvrait la porte à des erreurs humaines systématiques.
Après l’application du principe
Les intentions ont été remplacées par des mécanismes applicables (e.g. github-actions-scanner) à chaque commit ou merge.
L’usage d’actions GitHub est désormais encadré par des règles techniques : seul le hash-pinning est autorisé, les actions doivent provenir d’une allowlist, et tout écart déclenche un blocage automatique du pipeline.
La politique de sécurité est codée dans l’infrastructure CI elle-même, plus dans des documents internes ou des pratiques implicites.
Le système est fiable parce qu’il ne dépend plus des intentions individuelles.
Et vous, quelles sont vos retours d’expérience ?
Si votre retour est validé, il sera prochainement publié sur le site.
Autres principes
Dans la même veine — clique, rebondis.
- Contraindre d’abord, relâcher plus tard Développement
- Mettre le plus de contraintes en amont Développement
- Le nommage doit être ennuyeux Développement
- Orienter le futur structurellement Développement
- Préférer le déclaratif sur l'impératif Développement
- Préférer l'explicite à l'implicite Développement
- Tout vient du même livre. Découvrir le livre →
