Quiz : CI/CD, les principes

c. Le test de Humble porte sur l'intégration quotidienne, la vérification automatique de chaque commit, et la réparation immédiate d'une construction rouge. La couverture n'en fait pas partie. Leçon 1.

Un conflit sémantique. Git ne compare que du texte et ne le détecte pas ; seule l'exécution des tests sur le résultat de la fusion le révèle. Leçon 1.

b. La valeur vient de la petite taille du lot, pas de la vitesse brute. Un gros lot entremêle les conflits et rend le diagnostic difficile. Leçon 1.

Non. Récupérer main dans sa branche n'est qu'une demi-intégration : le travail de la branche reste invisible pour les autres, qui ne découvriront les conflits avec lui qu'à la fusion finale. Intégrer, c'est pousser son travail dans la branche principale. Leçon 1.

b. Le système ne comprend pas la sortie ; il lit le code de sortie. C'est pourquoi un commande | tee fichier sans set -o pipefail, qui masque le code, rend le pipeline toujours vert. Leçon 2.

L'artefact est le résultat du commit (image, binaire, rapport) : le perdre oblige à reconstruire. Le cache n'est qu'un accélérateur (dépendances téléchargées) : le perdre ne fait que ralentir. Une étape ne doit jamais dépendre du contenu du cache pour être correcte. Leçon 2.

Pour qu'une nouvelle version de l'outil ne change pas le comportement du pipeline sans changement de code. La version 0.16.0 de Ruff a fait passer son jeu de règles de 59 à 413 : les pipelines non épinglés sont devenus rouges du jour au lendemain. La mise à jour doit être un commit délibéré. Leçon 2.

b. C'est l'agent qui interroge le serveur (sondage régulier, ou connexion HTTPS longue). Un agent peut donc vivre dans un réseau privé sans aucun port entrant ouvert. Leçon 2.

Formatage, puis tests unitaires, puis bout en bout : ce qui est rapide et échoue souvent passe en premier (principe d'échec rapide). Inutile d'attendre six minutes pour apprendre qu'une ligne est mal formatée. Leçon 3.

b. Ni Ruff ni le mode mémoire ne connaissent le schéma SQL. Seul un test d'intégration, contre un vrai PostgreSQL éphémère, exerce le code qui parle à la base. Leçon 3.

Une dépendance à l'ordre des tests, causée par un état partagé non remis à zéro. On la corrige en remettant l'état à zéro avant chaque test (une fixture autouse qui vide la donnée partagée). L'ordre aléatoire avec graine affichée la révèle. Leçon 3.

c. La couverture dit quel code n'est jamais exécuté, pas si ce qui est exécuté est vérifié (un test sans assertion couvre sans rien prouver). C'est une carte des zones non testées, pas une mesure de qualité. Leçon 3.

En livraison continue, la branche principale est déployable à tout moment et la mise en production est un geste humain unique. En déploiement continu, ce geste disparaît : chaque commit qui passe le pipeline part automatiquement en production. Le second suppose le premier. Leçon 4.

b. Ce qui a été testé en recette doit être exactement ce qui tourne en production. On fait donc circuler le même artefact, désigné par son empreinte. Leçon 4.

Hors de l'artefact, fournie par l'environnement d'exécution. La version, elle, fait partie de l'artefact et y est figée à la construction. C'est le principe « build, release, run » de la méthode Twelve-Factor. Leçon 4.

Quand la nouvelle version a modifié le schéma de données de façon incompatible (renommer une colonne) : l'ancienne version ne sait plus lire la base. Il faut alors découper le changement en étapes compatibles (changement parallèle, ou expand and contract). Leçon 4.

Une demande de fusion empoisonnée (poisoned pipeline execution, PPE, ou pwn request). Défense : le code non relu ne voit jamais les secrets ; ceux-ci ne sont fournis qu'aux exécutions de la branche protégée, pas aux demandes de fusion venant d'un dépôt dupliqué. Leçon 5.

b. C'est la leçon de l'incident tj-actions (2025) : les dépôts qui suivaient une étiquette ont exécuté le code malveillant, ceux qui épinglaient par empreinte non. L'empreinte protège contre la réécriture d'une référence, pas contre une dépendance mauvaise dès le départ. Leçon 5.

Non. Le masquage ne reconnaît que la valeur exacte déclarée ; un secret transformé (encodé en base64, découpé) passe au travers. C'est une défense de dernier recours : la seule garantie est de ne jamais exposer le secret. Un secret qui a pu fuiter doit être renouvelé. Leçon 5.

Parce qu'on « améliore » trivialement le débit en déployant n'importe quoi, au prix de l'instabilité, et inversement. La découverte de DORA est que vitesse et stabilité progressent ensemble quand les pratiques sont bonnes : on lit donc les deux familles ensemble. Et jamais comme un objectif (loi de Goodhart), ni pour classer des équipes. Leçon 6.