Gérer les Secrets et les variables d’environnement

Les chaînes CI/CD ont besoin de jetons et de mots de passe pour accéder aux registres et aux cibles d’informatique en nuage. Les coder en dur les divulgue à toute personne ayant accès au dépôt : c’est précisément ce qu’empêchent les secrets.

Vous ajoutez les secrets dans les paramètres du dépôt, de l’organisation ou de l’environnement. Ils sont chiffrés au repos et exposés aux flux de travail uniquement sous forme de valeurs masquées.

Référencez un secret via le contexte secrets, puis transmettez-le à une étape sous forme de variable d’environnement ou d’entrée d’action. Ici, il alimente un script de déploiement.

GitHub masque automatiquement les secrets dans les journaux sous la forme ***. Malgré cela, ne les affichez ni ne les conservez jamais : des transformations comme l’encodage base64 peuvent contourner le masquage et les divulguer.

Pour une configuration non sensible, comme une région ou une option de compilation, utilisez des variables via le contexte vars. Elles sont visibles dans l’interface, ce qui convient lorsqu’elles ne contiennent aucun secret.

Chaque exécution reçoit automatiquement un GITHUB_TOKEN pour s’authentifier auprès du dépôt. Limitez strictement sa portée avec la clé permissions : appliquez le principe du moindre privilège.

Un environnement, comme la préproduction ou la production, regroupe des secrets et ajoute des règles de protection : approbateurs requis, temporisateurs d’attente et restrictions de branches, avant l’exécution d’un déploiement.

Dans un environnement protégé, une tâche de déploiement est mise en pause jusqu’à ce qu’un approbateur désigné donne son accord : c’est un contrôle humain délibéré avant la production.

Les secrets ne sont jamais transmis aux flux de travail provenant de PR issues de dépôts dérivés, afin qu’un contributeur non approuvé ne puisse pas les dérober. Concevez l’intégration continue de façon à ce que les PR issues de dépôts dérivés n’aient besoin d’aucun secret.

Considérez chaque secret comme renouvelable. Lorsqu’un secret est divulgué ou arrive à expiration, il vous suffit de le mettre à jour dans les paramètres : la prochaine exécution récupère la nouvelle valeur, sans modifier le code.

Le guide pratique : des secrets pour les valeurs sensibles, des variables pour le reste, un GITHUB_TOKEN à la portée strictement limitée, des environnements pour protéger la production, et ne jamais journaliser un secret.

Secret ou variable, masqué ou visible : lequel va où ?

Vous pouvez désormais gérer les secrets et les variables en toute sécurité : stockez-les sous forme chiffrée, lisez-les via le contexte secrets, limitez la portée du jeton et soumettez les déploiements à une validation grâce aux environnements.