Changer les fondations sans casser les dépendances
Chaque phase destructive commençait par la relecture du périmètre destructible et de son plan de destruction.
Reconstruire les secrets, la CI/CD et l'infrastructure as code sans casser l'existant
Ce projet interne a reconstruit les fondations de secrets, de CI/CD et d'infrastructure as code d'un parc LRJI, avec des preuves avant chaque changement à risque.
La contrainte était simple : rendre les fondations plus sûres et plus reproductibles sans interrompre les produits qui en dépendent.
Reconstruire sans transformer la sécurité en pari
Les secrets, les déploiements et l'infrastructure touchent tous les produits. La reconstruction devait donc préserver un périmètre destructible explicite et des retours vérifiables.
Le problème à résoudre
Des frontières explicites pour les secrets et la livraison
Les choix publiés restent des principes : ils expliquent les contrôles sans révéler la carte opérationnelle de la plateforme.
Secrets déclarés et stockés hors des fichiers
OpenTofu crée les secrets et les stocke dans un coffre de mots de passe : aucun secret ne vit dans un fichier, une variable CI ou un poste local.
Identité de charge de travail sans clé
La CI accède au cloud par fédération d'identité de charge de travail, sans clé statique à distribuer ou à renouveler.
Séparation des environnements
La production et le hors-production résident dans des projets cloud distincts ; les images sont promues par digest.
Une migration gouvernée par des preuves
Du 7 au 25 septembre 2026, le plan a avancé étape par étape. Les quatre étapes restantes sont ouvertes par conception, plutôt que dissimulées comme du travail terminé.
Exercices de fin
Les exercices finaux ont révélé un worker de traitement de fichiers qui ne lisait pas le mode de contenu binaire de ses événements et une porte locale qui acceptait ce que l'image CI refusait. Les deux défauts ont été corrigés.
Les repères publiés
Ils mesurent la discipline de la reconstruction, pas une promesse générique de sécurité.
- Plan
- 298 étapes planifiées.
- Preuves
- 294 étapes prouvées une par une.
- Périmètre
- Plan destructif relu avant chaque phase destructive.
- Exercices
- Deux défauts réels détectés puis corrigés.
Ce que cette étude établit
La sécurité de plateforme repose autant sur un périmètre relu et des exercices réels que sur les outils choisis.
Publier les principes et les preuves, jamais les identifiants opérationnels.
Cette étude ne publie ni nom de coffre, ni nom d'élément, ni identifiant de projet, de compte ou d'état, ni topologie réseau.