Entre la construction et la publication, Trivy examine l'image, exportée
en répertoire OCI : pas de démon, et rien n'est publié avant le verdict.
Seuil décidé par Benjamin le 2026-10-07 : HIGH et CRITICAL corrigeables
bloquent ; le reste est rapporté sans bloquer. Le seuil n'est pas une
entrée : un dépôt ne l'abaisse pas pour lui seul. Exceptions dans
.trivyignore.yaml, chacune avec « statement » et « expired_at » —
vérifiés par l'action, faute de quoi elle refuse le fichier.
Banc du 2026-10-07, Ubuntu 24.04 non privilégié, buildah 1.33.7, trivy
0.75.0 vérifié par empreinte, registre jetable :
1. frontend actuel → bloqué (libexpat, pcre2 HIGH corrigeables)
2. + apk upgrade → publié
3. + exceptions futures → publié
4. + exceptions expirées → bloqué
5. exception sans date → refusé à la validation
Constaté en route : « trivy --input » refuse une archive OCI ; il veut
l'archive Docker ou le répertoire OCI.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV
Premier vrai run, PRJ002-ScrumBoard-Backend run 31 : act_runner clone les
actions de « uses: » sans s'authentifier, et RF_CICD étant privé, Gitea
répond « repository not found ». L'action déménage ici, dans l'organisation
« public » — un dépôt public dans « raggaroth-factory » resterait invisible,
l'organisation elle-même l'étant aux anonymes.
Reprise de RF_CICD/actions/build-push telle qu'éprouvée, moins ce qui
décrivait l'infrastructure : le tag de l'image de job et le chemin de son
Containerfile quittent le message d'erreur, et les fichiers temporaires
perdent leur préfixe rf-cicd. Le README pose la règle qui en découle : rien
de propre à une machine, un compte ou un chemin n'entre dans ce dépôt.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV
george-claudeandClaude Opus 5.5