📖 Manuel

Audit de Sécurité des Dépendances

Workflow

1. Scanner : identifier les vulnérabilités connues (CVE) dans les dépendances.
2. Évaluer : prioriser par sévérité (critique > haute > moyenne > basse).
3. Corriger : mettre à jour, patcher ou remplacer.
4. Automatiser : CI/CD, Dependabot, alertes.

Outils par écosystème

Commandes d'audit

.NET

# Lister les packages vulnérables
dotnet list package --vulnerable --include-transitive

# Format JSON pour CI
dotnet list package --vulnerable --format json

# Mettre à jour un package spécifique
dotnet add package PackageName --version X.Y.Z

npm

# Audit complet
npm audit

# Audit avec fix automatique (non-breaking)
npm audit fix

# Rapport JSON pour CI
npm audit --json

# Fix incluant les major versions (attention !)
npm audit fix --force

Python

# Avec pip-audit
pip-audit
pip-audit --fix
pip-audit -r requirements.txt

# Avec safety
safety check -r requirements.txt

Intégration CI/CD

GitHub Actions

name: Security Audit
on:
  schedule:
    - cron: '0 8 * * 1'  # Chaque lundi à 8h
  pull_request:

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: .NET Audit
        run: |
          dotnet restore
          dotnet list package --vulnerable --include-transitive 2>&1 | tee audit.txt
          if grep -q "has the following vulnerable packages" audit.txt; then
            echo "::error::Vulnérabilités détectées"
            exit 1
          fi

      - name: npm Audit
        working-directory: ./frontend
        run: npm audit --audit-level=high

Dependabot

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "nuget"
    directory: "/"
    schedule:
      interval: "weekly"
    open-pull-requests-limit: 10
    labels: ["dependencies", "security"]
    reviewers: ["team-security"]

  - package-ecosystem: "npm"
    directory: "/frontend"
    schedule:
      interval: "weekly"

Processus de correction

Règles

• L'audit de dépendances doit tourner automatiquement en CI sur chaque PR.
• Les vulnérabilités critiques et hautes doivent bloquer le merge.
• Revoir les dépendances transitives (pas seulement les directes).
• Maintenir un inventaire (SBOM) des dépendances de chaque projet.
• Ne jamais ignorer un audit échoué sans documenter la raison.