Sécurité des pipelines CI/CD en 2026 : SAST, DAST, secrets et conformité NIS2

• #DevSecOps
• #SAST
• #DAST
• #NIS2

La sécurité des pipelines CI/CD n'est plus une option en 2026 : c'est une obligation réglementaire (NIS2, RGPD, ISO 27001) et un avantage compétitif. Un pipeline non sécurisé est une porte d'entrée pour les attaquants et un risque de conformité majeur.

• Cyberattaques en hausse : les pipelines CI/CD sont une cible de choix (SolarWinds, Codecov, 3CX)
• NIS2 : les OIV doivent prouver la sécurité de leur chaîne de build
• RGPD : un secret commité en clair = violation de données potentielle
• Coût d'un incident : en moyenne 4.5 M$ par breach (IBM 2025)

SAST analyse le code source sans l'exécuter, à la recherche de vulnérabilités connues (injection SQL, XSS, hardcoded credentials). GitLab Ultimate inclut un SAST avancé qui couvre 12 langages et génère des tickets automatiques en cas de problème.

DAST lance l'application dans un environnement contrôlé et la teste de l'extérieur, comme le ferait un attaquant. GitLab DAST utilise OWASP ZAP en backend et détecte les failles à l'exécution.

Le pattern #1 des incidents : un dev commit un .env avec une clé AWS, le repo est public, l'attaquant mine des cryptos à vos frais. GitLab secret detection scanne chaque commit et bloque la MR en cas de détection. Coût : 0, ROI : infini.

Chaque image Docker doit être scannée pour les CVE connues. GitLab container scanning s'intègre à votre registry privé et bloque le déploiement des images vulnérables au-delà d'un seuil configurable.

Le SBOM (Software Bill of Materials) au format CycloneDX liste tous les composants d'une application. NIS2 impose la capacité à produire un SBOM pour chaque release en cas d'audit. GitLab génère automatiquement le SBOM à chaque pipeline.

1. Activer les 5 scanners dans la configuration CI de GitLab
2. Configurer les seuils de blocage (ex: pas de CVE critical en MR)
3. Former les devs à lire les rapports de scan
4. Auditer trimestriellement les dépendances avec Dependency Scanning