Workflows automatisés

Workflows automatisés

Les badges en haut du README donnent un état rapide. Les automatisations réellement configurées dans le dépôt sont les suivantes :

Automatisation	Déclenchement	Rôle
Build & publication Docker	Chaque PR, chaque push sur main et chaque tag v*	Construit les images Companion et Sidecar pour amd64/arm64. Sur main et les tags, publie les images dans GHCR. Sur les PR, exécute aussi un smoke test HTTP en amd64.
Dependabot	Chaque lundi à 06:00 UTC	Surveille les dépendances Python de Companion et du Sidecar, les actions GitHub et les images de base Docker, puis ouvre des PR de mise à jour.
Auto-merge Dependabot	À l’ouverture ou la mise à jour d’une PR Dependabot	Demande l’auto-merge des mises à jour patch après réussite des contrôles. Cela nécessite que Allow auto-merge soit activé dans les paramètres GitHub du dépôt ; sinon la PR reste à fusionner manuellement. Les mises à jour mineures restent soumises à revue et les mises à jour majeures sont généralement ignorées par la configuration Dependabot.
Analyse Trivy	Chaque lundi à 07:00 UTC, ou manuellement	Construit et analyse les deux images pour les CVE HIGH/CRITICAL, publie les résultats SARIF dans l’onglet Security et ouvre une PR de correction ou une issue lorsqu’une intervention manuelle est nécessaire.

Une réussite du workflow Docker signifie que les images se construisent et démarrent dans le smoke test. Pour empêcher techniquement la fusion d’une PR en cas d’échec, les contrôles concernés doivent également être déclarés comme required status checks dans les règles de protection de main.

---