1. Permissions — Principe du moindre privilège Le changement le plus impactant que vous puissiez apporter à n’importe quel workflow GitHub Actions est de verrouiller les permissions. Par défaut, GITHUB_TOKEN dispose d’un accès en lecture et écriture sur la plupart des scopes. Corrigez cela immédiatement. Permissions en lecture seule par défaut (niveau global) Placez ceci … Lire la suite
GitHub Actions has become the most widely adopted CI/CD platform in the world. With over 90% of GitHub repositories capable of using it natively, it powers everything from simple linting checks to complex multi-cloud deployments. But that ubiquity makes it the single most targeted CI/CD attack surface in modern software development. In 2024 and 2025, … Lire la suite
Présentation GitHub Actions est devenu la plateforme CI/CD la plus largement adoptée, aussi bien pour les logiciels open source que commerciaux. Cette popularité en fait la surface d’attaque numéro un dans le paysage CI/CD. Des workflows mal configurés divulguent régulièrement des secrets, accordent des permissions excessives et intègrent du code tiers pouvant être modifié de … Lire la suite
Présentation Chaque image container produite par votre pipeline CI/CD devrait être signée cryptographiquement avant d’atteindre un quelconque environnement. Les images non signées constituent un angle mort — vous n’avez aucune preuve qu’elles proviennent de votre pipeline, aucune garantie qu’elles n’ont pas été altérées en transit, et aucun mécanisme de politique pour bloquer les déploiements non … Lire la suite
Aperçu Si vos workflows GitHub Actions s’authentifient auprès d’AWS en utilisant AWS_ACCESS_KEY_ID et AWS_SECRET_ACCESS_KEY stockés comme secrets de dépôt, vous avez un sérieux problème de sécurité. Ces credentials à longue durée de vie n’expirent jamais d’eux-mêmes, peuvent être exfiltrés par n’importe quelle étape du workflow (y compris les actions tierces), et donnent aux attaquants un … Lire la suite
Ce qu’il faut concrètement modifier dans les environnements CI/CD réels 🔐 Renforcement des accès et de l’identité En cas de non-conformité des contrôles SSO/MFA : Imposer le SSO SAML pour l’organisation GitHub/GitLab. Désactiver l’authentification par mot de passe pour les administrateurs. Imposer la MFA matérielle pour les rôles privilégiés. Supprimer les jetons d’accès personnels sans … Lire la suite
Overview GitHub-hosted runners are shared and ephemeral by default — every job gets a fresh virtual machine that is destroyed after the job completes. Self-hosted runners, on the other hand, are persistent and shared across workflow runs. This creates a significant security risk: secrets, tokens, and build artifacts from one job can leak into the … Lire la suite
Vue d’ensemble Les GitHub Actions tierces sont l’une des fonctionnalités les plus pratiques de l’écosystème GitHub. Avec une simple directive uses:, vous pouvez intégrer une logique de build complexe, déployer sur des fournisseurs cloud ou exécuter des scanners de sécurité. Mais cette commodité implique un compromis critique : chaque action tierce exécute du code dans … Lire la suite
GitHub Actions est devenu l’une des plateformes CI/CD les plus largement adoptées. Sa flexibilité, son intégration étroite avec les dépôts GitHub et son riche écosystème en font un choix attractif pour les équipes de toutes tailles. Parallèlement, les runners GitHub Actions sont apparus comme une surface d’attaque critique dans les attaques modernes contre la chaîne … Lire la suite
