Posture de Sécurité du Dépôt

Audite la configuration d'un dépôt et son CI/CD face à des scénarios d'attaque concrets et produit une liste concise et exploitable de tâches de durcissement. Les résultats sont regroupés par catégorie (intégrité de la publication et des versions ; protection des branches et des fusions ; propriété des chemins sensibles ; durcissement des flux CI/CD ; contrôle des comptes et des accès ; examen des dépendances et de la chaîne d'approvisionnement), classés par sévérité et liés aux preuves observées. Le rapport est fourni par défaut sous forme de checklist Markdown, mais peut également être émis en JSON structuré pour l'automatisation.

Ce que cela fait

• Collecte la configuration du dépôt et les fichiers de workflow (collecteur recommandé)
• Exécute des vérifications par rapport à une liste canonique de contrôles de durcissement
• Émet des tâches prioritaires et maintenables avec des étapes de remédiation exactes et un niveau de confiance (observé ou non vérifié)

Quand l'utiliser

Utilisez ceci pour un audit destiné aux mainteneurs : "auditer mon dépôt", "durcir ce dépôt GitHub", "sécurité des actions", ou lorsque vous indiquez une URL GitHub en demandant quoi corriger.

Format de sortie

• Checklist Markdown (par défaut)
• Tableau JSON optionnel des résultats pour l'intégration CI/pipeline

Notes sur le périmètre

Ceci inspecte la configuration et le CI ; il ne s'agit pas d'un scan de vulnérabilités au niveau du code ou d'un scan historique des secrets. Certaines vérifications nécessitent un jeton administrateur pour être validées ; celles-ci sont signalées sous "Impossible de vérifier" avec des étapes manuelles pour confirmer.