Les neuf workflows, et le harnais qui vérifie qu'ils ne mentent pas #1

Merged

nicolas-fryder merged 1 commit from feat/les-neuf-workflows into main

2026-09-07 09:58:27 +00:00

nicolas-fryder commented

2026-09-07 09:57:07 +00:00

Owner

ATLAS a un ci.yml de 321 lignes, Topologie et MCP aussi, tous différents, aucun
n'appelant un workflow central. Ici un satellite écrit trente lignes.

Huit workflows appelables — check, integration, e2e, contract, security,
mutation, audit, smoke — plus canary, renovate et verify qui vivent ici et ne
concernent pas les dépôts.

Extraits, pas inventés : security.yml vient du spinoff de forgejo-runner (les
quatre étages, les empreintes, les actions épinglées par commit), canary.yml
aussi, smoke.yml de la fumée de MCP, l'en-tête « cette CI ne bloque rien » du
ci.yml d'ATLAS, renovate.yml et son mode dashboard du spinoff.

Une seule modification à security.yml : gitleaks est en 8.30.1, la version de
@eqs/tooling (D-018), et un pas la COMPARE au lieu de la supposer. L'empreinte
vient du fichier de sommes publié avec la release, vérifiée sur le fichier
brut.

Deux choses sont dites plutôt que contournées :

e2e.yml ne monte PAS la pile du socle : eqs e2e up est un docker compose,
et le runner n'a aucun accès au daemon (D-015). Le proxy — le point même de
cette pile — n'est donc pas exercé en CI. C'est écrit en tête du fichier. La
lever demanderait un second runner avec Docker, c'est-à-dire une décision qui
remplace D-015.
verify/ prouve la FORME des huit portes (labels, épinglages, absence de
Docker, interpolation de secrets, empreintes) et le COMPORTEMENT d'une seule,
gitleaks, contre un dépôt fautif généré à la volée — jamais committé, un
dépôt qui porte un vrai-faux secret finit par en porter un vrai. Les sept
autres cas comportementaux sont listés dans verify/README.md avec le dépôt
fautif qu'il leur faudra ; ils demandent le template (ROADMAP #11).

Le harnais est lui-même vérifié : verify.yml casse quatre choses dans une copie
et exige qu'il les voie. Un harnais qu'on n'a jamais vu échouer ne prouve rien.
Onze cas verts sur ce dépôt, quatre manquements vus sur quatre posés.

Co-Authored-By: Claude Opus 5 noreply@anthropic.com

ATLAS a un ci.yml de 321 lignes, Topologie et MCP aussi, tous différents, aucun n'appelant un workflow central. Ici un satellite écrit trente lignes. Huit workflows appelables — check, integration, e2e, contract, security, mutation, audit, smoke — plus canary, renovate et verify qui vivent ici et ne concernent pas les dépôts. Extraits, pas inventés : security.yml vient du spinoff de forgejo-runner (les quatre étages, les empreintes, les actions épinglées par commit), canary.yml aussi, smoke.yml de la fumée de MCP, l'en-tête « cette CI ne bloque rien » du ci.yml d'ATLAS, renovate.yml et son mode dashboard du spinoff. Une seule modification à security.yml : gitleaks est en 8.30.1, la version de @eqs/tooling (D-018), et un pas la COMPARE au lieu de la supposer. L'empreinte vient du fichier de sommes publié avec la release, vérifiée sur le fichier brut. Deux choses sont dites plutôt que contournées : - e2e.yml ne monte PAS la pile du socle : `eqs e2e up` est un docker compose, et le runner n'a aucun accès au daemon (D-015). Le proxy — le point même de cette pile — n'est donc pas exercé en CI. C'est écrit en tête du fichier. La lever demanderait un second runner avec Docker, c'est-à-dire une décision qui remplace D-015. - verify/ prouve la FORME des huit portes (labels, épinglages, absence de Docker, interpolation de secrets, empreintes) et le COMPORTEMENT d'une seule, gitleaks, contre un dépôt fautif généré à la volée — jamais committé, un dépôt qui porte un vrai-faux secret finit par en porter un vrai. Les sept autres cas comportementaux sont listés dans verify/README.md avec le dépôt fautif qu'il leur faudra ; ils demandent le template (ROADMAP #11). Le harnais est lui-même vérifié : verify.yml casse quatre choses dans une copie et exige qu'il les voie. Un harnais qu'on n'a jamais vu échouer ne prouve rien. Onze cas verts sur ce dépôt, quatre manquements vus sur quatre posés. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

nicolas-fryder added 1 commit

2026-09-07 09:57:07 +00:00

Les neuf workflows, et le harnais qui vérifie qu'ils ne mentent pas 2359fa66ab

ATLAS a un ci.yml de 321 lignes, Topologie et MCP aussi, tous différents, aucun
n'appelant un workflow central. Ici un satellite écrit trente lignes.

Huit workflows appelables — check, integration, e2e, contract, security,
mutation, audit, smoke — plus canary, renovate et verify qui vivent ici et ne
concernent pas les dépôts.

Extraits, pas inventés : security.yml vient du spinoff de forgejo-runner (les
quatre étages, les empreintes, les actions épinglées par commit), canary.yml
aussi, smoke.yml de la fumée de MCP, l'en-tête « cette CI ne bloque rien » du
ci.yml d'ATLAS, renovate.yml et son mode dashboard du spinoff.

Une seule modification à security.yml : gitleaks est en 8.30.1, la version de
@eqs/tooling (D-018), et un pas la COMPARE au lieu de la supposer. L'empreinte
vient du fichier de sommes publié avec la release, vérifiée sur le fichier
brut.

Deux choses sont dites plutôt que contournées :

- e2e.yml ne monte PAS la pile du socle : `eqs e2e up` est un docker compose,
  et le runner n'a aucun accès au daemon (D-015). Le proxy — le point même de
  cette pile — n'est donc pas exercé en CI. C'est écrit en tête du fichier. La
  lever demanderait un second runner avec Docker, c'est-à-dire une décision qui
  remplace D-015.
- verify/ prouve la FORME des huit portes (labels, épinglages, absence de
  Docker, interpolation de secrets, empreintes) et le COMPORTEMENT d'une seule,
  gitleaks, contre un dépôt fautif généré à la volée — jamais committé, un
  dépôt qui porte un vrai-faux secret finit par en porter un vrai. Les sept
  autres cas comportementaux sont listés dans verify/README.md avec le dépôt
  fautif qu'il leur faudra ; ils demandent le template (ROADMAP #11).

Le harnais est lui-même vérifié : verify.yml casse quatre choses dans une copie
et exige qu'il les voie. Un harnais qu'on n'a jamais vu échouer ne prouve rien.
Onze cas verts sur ce dépôt, quatre manquements vus sur quatre posés.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

nicolas-fryder merged commit 5dca0f7026 into main

2026-09-07 09:58:27 +00:00

nicolas-fryder deleted branch feat/les-neuf-workflows

2026-09-07 09:58:28 +00:00

nicolas-fryder referenced this pull request from a commit

2026-09-07 09:58:28 +00:00

Merge pull request 'Les neuf workflows, et le harnais qui vérifie qu'ils ne mentent pas' (#1) from feat/les-neuf-workflows into main