DevSecOps

Un parcours complet, du problème historique qui a fait naître le DevOps jusqu'à la sécurisation d'une chaîne de livraison. Chaque séance part d'une question concrète : pourquoi cette pratique existe, avant comment on l'applique.

Dix-neuf séances, groupées en quatre temps.

Culture et fondations

• Qu'est-ce que le DevOps ? — Le problème historique, la naissance du mouvement, et ce qu'il n'est pas.
• Three Ways et CALMS — Les deux cadres qui structurent la pratique DevOps.
• Agile, DevOps et SRE — Trois approches complémentaires, souvent confondues.
• DevSecOps — Intégrer la sécurité au cycle, sans en faire un point de blocage.

Sécurité : concepts et méthodes

• Le cycle de vie sécurisé — Le SSDLC : la sécurité à chaque étape du développement.
• Menace, risque, vulnérabilité — Quatre mots souvent confondus, quatre réalités distinctes.
• Évaluer un risque — Des matrices qualitatives au calcul quantitatif.
• Threat modeling avec STRIDE — Une méthode systématique pour trouver les menaces d'une conception.
• Tests de sécurité automatisés — SAST, DAST, SCA : ce que chacun trouve, et ce qu'il rate.
• Chaîne d'approvisionnement logicielle — SBOM, SLSA, Sigstore : prouver ce que l'on livre.

Pipelines : construire

• Anatomie d'une pipeline CI/CD — Les étapes, les agents, les artefacts — et ce qui circule entre eux.
• CI, Delivery, Deployment — Trois pratiques, trois niveaux d'automatisation.
• Concevoir une pipeline robuste — Les pratiques qui rendent une chaîne rapide et fiable.
• Architectures de pipelines — Monorepo, multi-dépôts, matrices : structurer à l'échelle.
• Anti-patrons CI/CD — Les erreurs récurrentes, et pourquoi elles se répètent.

Pipelines : sécuriser

• Sécuriser une pipeline — Secrets, permissions, isolation : durcir la chaîne elle-même.
• La confiance implicite — Ce que la pipeline accorde sans qu'on le lui demande.
• Bloquer n'est pas sécuriser — Pourquoi bloquer une pipeline n'améliore pas la sécurité.
• Pourquoi les pipelines échouent — Les causes réelles, au-delà des symptômes techniques.