Demande de Benjamin, 2026-10-08 : « il faut que le scan se fasse au build
pour empêcher le build ». Jusqu'ici, le scan ne tournait que dans la
publication, après la fusion : une PR n'était jamais scannée, et une
dépendance vulnérable passait la revue.
- Toute référence : construction + scan bloquant. Seules develop et
vX.Y.Z publient ; une PR, une autre branche ou main s'arrêtent après le
scan, sous un tag local « controle-<sha> » jamais poussé.
- Identifiants du registre facultatifs : lus et exigés seulement si la
référence publie. Une PR ne se connecte pas au registre.
- REGISTRY_AUTH_FILE n'est exporté que pour publier : pointé sur un
fichier absent, il faisait échouer buildah jusque dans l'export local
vers le scan (constaté au banc, « credential file is not accessible »).
- Sortie « publie » ; « tags » vide quand rien n'est publié.
Banc, 2026-10-08, les deux étapes extraites du YAML et enchaînées :
A. PR, sans identifiants, saine → code 0, registre vide
B. PR, sans identifiants, vulnérable → code 1, image refusée
C. develop, identifiants → :dev et :<sha> publiés
D. develop, sans identifiants → code 1, erreur explicite
E. main → code 0, rien publié
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV
Entre la construction et la publication, Trivy examine l'image, exportée
en répertoire OCI : pas de démon, et rien n'est publié avant le verdict.
Seuil décidé par Benjamin le 2026-10-07 : HIGH et CRITICAL corrigeables
bloquent ; le reste est rapporté sans bloquer. Le seuil n'est pas une
entrée : un dépôt ne l'abaisse pas pour lui seul. Exceptions dans
.trivyignore.yaml, chacune avec « statement » et « expired_at » —
vérifiés par l'action, faute de quoi elle refuse le fichier.
Banc du 2026-10-07, Ubuntu 24.04 non privilégié, buildah 1.33.7, trivy
0.75.0 vérifié par empreinte, registre jetable :
1. frontend actuel → bloqué (libexpat, pcre2 HIGH corrigeables)
2. + apk upgrade → publié
3. + exceptions futures → publié
4. + exceptions expirées → bloqué
5. exception sans date → refusé à la validation
Constaté en route : « trivy --input » refuse une archive OCI ; il veut
l'archive Docker ou le répertoire OCI.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV
Premier vrai run, PRJ002-ScrumBoard-Backend run 31 : act_runner clone les
actions de « uses: » sans s'authentifier, et RF_CICD étant privé, Gitea
répond « repository not found ». L'action déménage ici, dans l'organisation
« public » — un dépôt public dans « raggaroth-factory » resterait invisible,
l'organisation elle-même l'étant aux anonymes.
Reprise de RF_CICD/actions/build-push telle qu'éprouvée, moins ce qui
décrivait l'infrastructure : le tag de l'image de job et le chemin de son
Containerfile quittent le message d'erreur, et les fichiers temporaires
perdent leur préfixe rf-cicd. Le README pose la règle qui en découle : rien
de propre à une machine, un compte ou un chemin n'entre dans ce dépôt.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV
bbaudouin
george-claudeandClaude Opus 5.5