🔖 Release v1.0.0 : main reçoit le scan à chaque construction (RF_CICD#7, #8) #6

2026-10-08T13:31:12+02:00

george-claude commented

2026-10-08 13:31:12 +02:00

Refs raggaroth-factory/RF_CICD#7 et #8. Cette release met sur main l'action qui construit et scanne sur toute référence (#5). C'est cette version que portera le tag v1.0.0.

La branche est prise telle quelle sur develop (3874a35), sans commit propre : il n'y aura rien à reporter sur develop.

Effet immédiat sur les consommateurs actuels, qui appellent @main dans un job réservé à develop et aux tags : aucun. Sur ces références, l'action construit, scanne et publie, comme avant. Le scan des PR ne commencera que lorsque leur job tournera sur tous les événements, ce que feront les PR de bascule vers @v1.0.0.

Après fusion :

pose le tag v1.0.0 sur main (Versions → Nouvelle version) ;
protège les tags v* (Paramètres → Tags protégés).

🤖 Generated with Claude Code

Refs raggaroth-factory/RF_CICD#7 et #8. Cette release met sur `main` l'action qui construit et scanne sur toute référence (#5). C'est cette version que portera le tag **`v1.0.0`**. La branche est prise telle quelle sur `develop` (3874a35), sans commit propre : il n'y aura rien à reporter sur `develop`. **Effet immédiat sur les consommateurs actuels**, qui appellent `@main` dans un job réservé à `develop` et aux tags : aucun. Sur ces références, l'action construit, scanne et publie, comme avant. Le scan des PR ne commencera que lorsque leur job tournera sur tous les événements, ce que feront les PR de bascule vers `@v1.0.0`. **Après fusion** : 1. pose le tag `v1.0.0` sur `main` (Versions → Nouvelle version) ; 2. protège les tags `v*` (Paramètres → Tags protégés). 🤖 Generated with [Claude Code](https://claude.com/claude-code)

george-claude added 2 commits 2026-10-08 13:31:12 +02:00

🔒️ build-push construit et scanne sur toute référence, PR comprise ; il ne publie que sur develop et les tags (raggaroth-factory/RF_CICD#7 ) 50e0e9e258

Demande de Benjamin, 2026-10-08 : « il faut que le scan se fasse au build
pour empêcher le build ». Jusqu'ici, le scan ne tournait que dans la
publication, après la fusion : une PR n'était jamais scannée, et une
dépendance vulnérable passait la revue.

- Toute référence : construction + scan bloquant. Seules develop et
  vX.Y.Z publient ; une PR, une autre branche ou main s'arrêtent après le
  scan, sous un tag local « controle-<sha> » jamais poussé.
- Identifiants du registre facultatifs : lus et exigés seulement si la
  référence publie. Une PR ne se connecte pas au registre.
- REGISTRY_AUTH_FILE n'est exporté que pour publier : pointé sur un
  fichier absent, il faisait échouer buildah jusque dans l'export local
  vers le scan (constaté au banc, « credential file is not accessible »).
- Sortie « publie » ; « tags » vide quand rien n'est publié.

Banc, 2026-10-08, les deux étapes extraites du YAML et enchaînées :
  A. PR, sans identifiants, saine      → code 0, registre vide
  B. PR, sans identifiants, vulnérable → code 1, image refusée
  C. develop, identifiants             → :dev et :<sha> publiés
  D. develop, sans identifiants        → code 1, erreur explicite
  E. main                              → code 0, rien publié

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VyxLNGHojdXeRMQgWFgzRV

Merge pull request '🔒️ build-push construit et scanne sur toute référence, PR comprise ; il ne publie que sur develop et les tags (RF_CICD#7)' (#5 ) from ci/7-scan-a-chaque-construction into develop 3874a35e91

Reviewed-on: #5
Reviewed-by: bbaudouin <b.baudouin@pm.me>

bbaudouin approved these changes

2026-10-08 13:37:26 +02:00

bbaudouin merged commit 3874a35e91 into main

2026-10-08 13:37:45 +02:00

bbaudouin deleted branch release/7-scan-a-chaque-construction

2026-10-08 13:37:45 +02:00

Sign in to join this conversation.

2 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: public/RF_ACTIONS#6