pipeline.yml : la CI d'un satellite en trois jobs (D-084), et la passe de nuit

nicolas-fryder commented

2026-10-16 06:23:06 +00:00

Owner

Nouveau pipeline.yml (porte, sécurité, application : un install et un build par job ; l'audit après l'intégration et le fuzzing, avec la durée de la porte et la conformité). Caches : store pnpm dans .git, compilation Next, pip. smoke interroge /version au lieu de dormir 180 s. renovate sauté tant que le bot n'est pas configuré, image par digest, configuration migrée et .forgejo/workflows enfin lus. README et exemple. Vérificateur : T13 (épingles identiques). Éprouvé sur la démo, le gabarit et ATLAS (EQS/ATLAS#10 entièrement vert). 🤖 Generated with Claude Code

Nouveau pipeline.yml (porte, sécurité, application : un install et un build par job ; l'audit après l'intégration et le fuzzing, avec la durée de la porte et la conformité). Caches : store pnpm dans .git, compilation Next, pip. smoke interroge /version au lieu de dormir 180 s. renovate sauté tant que le bot n'est pas configuré, image par digest, configuration migrée et .forgejo/workflows enfin lus. README et exemple. Vérificateur : T13 (épingles identiques). Éprouvé sur la démo, le gabarit et ATLAS (EQS/ATLAS#10 entièrement vert). 🤖 Generated with [Claude Code](https://claude.com/claude-code)

nicolas-fryder added 10 commits

2026-10-16 06:23:06 +00:00

feat(pipeline): la CI d'un satellite en trois jobs, un install et un build par job 17f105c47f

Le runner fait un job à la fois : neuf jobs se paient en série, cinq
installations et trois next build par commit sur ATLAS, et un audit
envoyé avant le verdict de l'intégration et du fuzzing.

porte (install, eqs check, contrat), sécurité (quatre scans, aucun
install), application (un install, un build ; intégration, fuzzing sur
une base neuve, audit qui voit la durée de la porte et la conformité).
Store pnpm dans .git : le seul montage où pnpm lie au lieu de copier.

En essai : pas encore appelé par un satellite.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

fix(pipeline): la porte construit avant l'export quand il lit un dist/ 3e030c53fe

Le gabarit (nest) exporte depuis apps/api/dist/openapi.js, qu'eqs check
ne construit pas. Même règle que l'outil : construire si eqs.openapi est
sous dist/ ou build/, jamais pour un export sur les sources.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

perf(pipeline): le cache de compilation de Next survit au conteneur e5581fdc75

Une entrée par lockfile, repérée sous la racine ou apps/* : un satellite
n'a rien à déclarer.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

feat(verify, exemple): T13 garde une seule version de chaque outil ; l'exemple appelle pipeline.yml 48c9079737

pipeline.yml embarque les scans de security.yml : deux copies des
épingles, qui divergeraient en silence au premier renouvellement. T13
les compare (prouvé rouge sur une version de trivy différente).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs(readme): le pipeline en trois jobs, et pourquoi 6ffabd60df

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

fix(renovate): sauté tant que le bot n'est pas configuré ; image épinglée par digest fce156d725

Planifié à 04:00 UTC depuis l'activation d'Actions, il aurait échoué
chaque nuit faute de FORGEJO_API_URL et RENOVATE_TOKEN. L'image tournait
sur une étiquette mutable, avec un jeton qui écrit dans tous les dépôts.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

perf(smoke): attendre le déploiement en l'interrogeant, pas en dormant 180 s 19ffee701e

Le sleep tenait l'unique runner de la forge 3 minutes à chaque push sur
main, même quand Coolify avait fini en 40 s. On interroge /version
toutes les 10 s et on sort dès que la production sert le commit ; même
plafond. Éprouvé contre la production d'ATLAS (sortie en 1 s ; plafond
atteint sur un commit faux).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

perf(pipeline): la porte lit aussi le cache de compilation de Next c02d421e96

eqs check construit les applications Next pour les type-vérifier. Même
clé que le job application.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

perf(pipeline): cache pip pour semgrep et schemathesis ; les workflows par étage disent qu'ils sont remplacés 3a7501f2b5

Chaque run réinstallait ~24 s de paquets Python à version épinglée
identique. Les workflows par étage font en double ce que fait
pipeline.yml : leur en-tête le dit, pour qu'une correction ne soit pas
faite d'un seul côté.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

fix(renovate): la configuration migrée, et les .forgejo/workflows enfin lus

verify / portes (pull_request) Successful in 6s

Details

ab81e11319

Renovate 44 signalait « Config needs migrating » (matchPackagePatterns).
Et son gestionnaire github-actions ne lit que .github/workflows : la règle
d'épinglage des actions ne voyait aucun fichier de la flotte.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

nicolas-fryder merged commit 040cdeb1ff into main

2026-10-16 06:24:53 +00:00

nicolas-fryder referenced this pull request from a commit

2026-10-16 06:24:54 +00:00

Merge pull request 'pipeline.yml : la CI d'un satellite en trois jobs (D-084), et la passe de nuit' (#10) from nicolas-fryder/dev into main

Rows
Columns

pipeline.yml : la CI d'un satellite en trois jobs (D-084), et la passe de nuit #10