ci(security): Status pins the reusable security workflow on @main while every other repo pins a SHA

[BryanFRD]

Status/.github/workflows/security-scan.yml calls the reusable workflow as:

uses: FerrLabs/.github/.github/workflows/reusable-security-scan.yml@main

Every other consumer pins a commit SHA (currently @d3ce80b43af8b567b503ab4c3ee44d6e33c246f5), and Renovate keeps those pins moving via the FerrLabs/.github digest PRs.

@main is a mutable ref: anything landing on .github's default branch executes in Status' CI on the next run, with no review step and no Renovate PR. It also means Status silently drifts out of the digest-bump flow that keeps every other repo auditable.

Pin it to the same SHA as its siblings and let Renovate bump it.

(Separately, Status is one of the five repos in #202 where the scan jobs are all skipped anyway — worth fixing both in the same PR.)

[BryanFRD]

Vérifié aujourd'hui : le pin est déjà en place, cette moitié de l'issue est résolue.

Status/.github/workflows/security-scan.yml sur main :

uses: FerrLabs/.github/.github/workflows/reusable-security-scan.yml@d3ce80b43af8b567b503ab4c3ee44d6e33c246f5 # main

Historique du fichier :

c28b569 2026-08-03 chore(deps): update ferrlabs/.github digest to d3ce80b (#140)
8772bb1 2026-07-31 fix(ci): remonte les réutilisables au SHA post-revert (#139)

#139 a posé le SHA le 31/07, et #140 montre que Renovate le bumpe bien depuis — donc Status n'est pas non plus sorti du flux de digests.

Balayage des 29 dépôts non archivés de l'org : aucun n'utilise @main, les 19 qui appellent le réutilisable épinglent tous un SHA.

Ce qui reste vrai

La parenthèse de l'issue, elle, tient toujours : Status n'a pas run-on-private: true, donc ses six jobs restent tous skipped et le workflow rapporte quand même vert. C'est le périmètre de #202, encore ouverte, et ça concerne cinq dépôts — à traiter là-bas plutôt qu'ici.

Proposition : fermer celle-ci, #202 couvrant le reste.