DevSecOps freelance 2026 : sécuriser code, CI/CD et secrets

Bases : MFA, passkeys, accès

Activez MFA/passkeys sur GitHub/GitLab, cloud, CI/CD, secret manager. Utilisez des clés SSH fortes (ed25519), pas de partage. Séparez comptes perso/pro, évitez les comptes partagés. Pour les clients : comptes nominaux, droits minimaux, révocation dès fin de mission.

À retenir Un accès non révoqué après mission est un risque légal et technique ; planifiez la désactivation à la livraison.

Secrets et variables

Ne stockez pas de secrets dans Git. Utilisez un secret manager (Vault, AWS Secrets, Doppler) ou au minimum les variables chiffrées CI/CD. Ajoutez un scan secrets (pre-commit, CI). Rotation : prévoir un runbook (révocation, remplacement, mise à jour des env).

À retenir Un .env dans Git est la fuite la plus fréquente ; un pre-commit + scan CI évite la plupart des incidents.

Code, revues, branches

Stratégie branches (main protégée, PR obligatoires). Revues de code avec checklist sécurité (auth, entrées, logs, secrets). Hooks pre-commit (lint, scan secrets). Signer les commits/tags si possible.

À retenir Une checklist dédiée sécurité en PR réduit les oublis (logs sensibles, erreurs non gérées, injections).

Supply chain & SBOM

Verrouillez les dépendances (lockfiles), générez un SBOM (CycloneDX/SPDX). Scans SCA (npm audit, pip-audit, Snyk, Dependabot/Renovate). Refusez les paquets exotiques non maintenus. Politique de mises à jour : petites releases fréquentes.

À retenir Un SBOM livré au client facilite l’audit et réduit les discussions en homologation sécurité.

CI/CD durcie

Runners isolés, permissions minimales, secrets injectés au job (pas dans le repo), artefacts signés, cache avec contrôle d’intégrité. Séparez build/test et déploiement (approbation manuelle). Journalisez les déploiements.

À retenir Un pipeline “least privilege” réduit l’impact d’un secret volé sur un runner compromis.

IaC & cloud

IaC (Terraform/Pulumi) versionné, revu, avec scans (Checkov, tfsec). Règles : pas de clés inline, sous-réseaux privés, SG/NSG restrictifs, stockage chiffré, backups activés. Comptes cloud avec MFA, rôles distincts (dev/prod), pas d’admin global pour les services CI.

À retenir L’IaC est un contrat ; un drift manuel dans la console doit être corrigé ou re-déployé pour rester auditable.

Scans SAST/DAST/IaC

SAST (lint sécurité, semgrep, sonarqube) dans la CI ; DAST léger sur environnements de test (OWASP ZAP/StackHawk) si possible. IaC : Checkov/tfsec. Fix par priorité (critique/haut avant merge).

À retenir Mieux vaut un SAST rapide et régulier qu’un DAST annuel lourd jamais résolu.

Logs, monitoring, alertes

Centralisez les logs applicatifs et d’accès (avec anonymisation si besoin). Alertes sur erreurs critiques, pics de 401/403, et sur déploiements. Pour petits projets : solutions managées (CloudWatch, Logtail/Datadog Lite). Gardez une rétention suffisante pour investiguer.

À retenir Une alerte sur taux d’erreurs ou sur déploiement non planifié détecte vite une compromission CI/CD.

Sauvegardes & continuité

Règle 3-2-1 : 3 copies, 2 supports, 1 hors-ligne/hors-site. Sauvegardes chiffrées, tests de restauration périodiques. Scripts/infra dans Git + export chiffré. Identifiez le RPO/RTO attendu par le client.

À retenir Un backup non testé n’existe pas ; planifiez un test trimestriel de restauration.

Plan réponse incident (freelance)

Runbook court : détecter (alerte), contenir (révoquer tokens/clé, couper CI), éradiquer (patch/rotation), restaurer (backups), communiquer (client), post-mortem. Préparez un kit : contacts client, liens secrets/CI, scripts de rotation, modèle de mail.

À retenir Un runbook simple évite de paniquer et réduit le temps d’indisponibilité facturable.

Runbook incident (détaillé)

1. Détection : alerte logs, erreur 401/403 anormale, déploiement non planifié, fuite de secret détectée.
2. Confinement : révoquer clés/tokens (CI, cloud, app), suspendre pipelines, couper accès non essentiels.
3. Analyse rapide : déterminer la portée (repos, envs, secrets touchés), identifier le commit ou l’IP source si possible.
4. Éradication : patcher, mettre à jour dépendances, nettoyer fichiers sensibles, purger caches/artefacts compromis.
5. Restauration : restaurer depuis sauvegardes testées si altération, redéployer artefacts signés.
6. Rotation & durcissement : régénérer secrets, renforcer règles (MFA, rôles, scans), ajouter alertes manquantes.
7. Communication : informer le client (fait, impact, actions, prochaines étapes), tracer les dates/horaires.
8. Post-mortem : causes, détections manquées, actions préventives (checklist, scans, alertes supplémentaires).

Scripts utiles : rotation clés (cloud/CI), purge cache CI, rollback déploiement, envoi d’alerte Slack/Teams. Conservez-les versionnés et testés.

Exemple de pipeline CI/CD sécurisé

À retenir Séparer build/test du déploiement réduit la surface si un job amont est compromis ; la signature d’artefact protège la supply chain client.

Priorisation des vulnérabilités (SLA)

À retenir Traitez secrets exposés et CVE critiques immédiatement ; planifiez les correctifs moyens/bas pour éviter la dette et les surprises en audit.

Checklists & plan 30-60-90

Checklist rapide

• MFA/passkeys activés sur Git/CI/Cloud.
• Secrets hors Git + scan secrets (pre-commit/CI).
• Lockfiles + SCA + SBOM livré.
• CI/CD : runners isolés, secrets en variables, artefacts signés.
• SAST/IaC scans activés ; DAST léger si possible.
• Sauvegardes chiffrées testées ; plan incident écrit.

Plan 30-60-90

• J+30 : MFA, secrets hors Git, scan secrets, lockfiles, SCA.
• J+60 : SAST + IaC scans, durcir CI/CD (runners, artefacts, permissions), SBOM.
• J+90 : DAST léger, tests de restauration, runbook incident, alertes logs.

Audit express 20 min

• Des secrets dans Git ?
• MFA/passkeys partout ?
• CI/CD : secrets masqués, runners isolés ?
• SBOM et SCA à jour ?
• Sauvegarde testée récemment ?

L’essentiel

• MFA/passkeys et secrets hors dépôt : premiers gestes.
• Lockfiles + SCA + SBOM pour la supply chain.
• CI/CD “least privilege” + scans SAST/IaC en routine.
• Sauvegardes chiffrées testées, runbook incident écrit.
• Alertes sur logs/erreurs et déploiements inattendus.

FAQ — DevSecOps freelance 2026

Quel scan prioriser si je dois choisir ?

Scan secrets + SCA (dépendances) en premier ; ajoutez SAST léger dès que possible.

Je suis sous franchise TVA, ça change quoi ?

Rien côté sécurité : appliquez MFA, secrets, scans. La TVA ne modifie pas vos obligations de protection.

Faut-il signer les commits ?

Recommandé pour les livraisons sensibles ou en contexte exigeant (SSII, secteur régulé), utile pour la traçabilité.

Comment gérer un secret déjà poussé ?

Révoquez/rotations immédiates, purge du dépôt (git filter-repo), re-scan, informer le client si impact.

Je n’ai pas de SIEM : faisable quand même ?

Oui : centralisez logs via solutions managées légères, déclenchez quelques alertes clés (erreurs, 401/403, déploiements).

Conclusion

La sécurité freelance se gagne avec des gestes simples et systématiques : MFA/passkeys, secrets hors dépôt, supply chain maîtrisée, CI/CD durcie, sauvegardes testées et un runbook incident clair. Ces actions réduisent vos risques et rassurent vos clients.

Priorisez : secrets, MFA, SCA/lockfiles, scans SAST/IaC, puis DAST et monitoring. Automatisez et révisez trimestriellement vos alertes, sauvegardes et SBOM.

En 2026, les attentes clients montent : une posture DevSecOps lisible est un avantage compétitif autant qu’une protection.