Secure Software Supply Chain Platform

Pipeline CI/CD complet intégrant les pratiques modernes de sécurité de la supply chain logicielle.

1. sast Semgrep · CodeQL · Ruff — réussi
2. dependency-scan pip-audit · Safety · OSV Scanner — réussi
3. container-scan Trivy · Grype — réussi
4. sbom-slsa SBOM et attestation de provenance SLSA pour chaque build — réussi
5. cosign Signature keyless des images Docker, vérifiée avant déploiement — réussi
6. multi-arch linux/amd64 · linux/arm64, cache GitHub Actions — réussi
7. quality-gate Tests · coverage 75 %+ · lint strict (mypy strict) — réussi
8. dependabot Règles patch/minor/major, merge contrôlé — réussi
9. deploy Validation staging · smoke tests · notification de rollback — réussi

Ce que fait le pipeline

• SAST (Semgrep, CodeQL, Ruff), dependency scanning (pip-audit, Safety, OSV Scanner), container scanning (Trivy, Grype).
• Génération de SBOM (Software Bill of Materials) et attestation de provenance (SLSA) pour chaque build.
• Signature d’images Docker avec Cosign (keyless) et vérification automatique avant déploiement.
• Builds multi-architecture (linux/amd64, linux/arm64) avec cache GitHub Actions.
• Quality Gate automatisé agrégeant tests, coverage (75%+), lint strict (mypy strict mode) et résultats de sécurité.
• Automatisation Dependabot avec règles différenciées patch/minor/major et merge contrôlé selon le type de dépendance.
• CD production avec validation staging, smoke tests et notification de rollback en cas d’échec.