Sorway · astronas · Jul 7, 2026 · Jul 7, 2026 · Jul 7, 2026 · Jul 7, 2026
diff --git a/documentation/docs/architecture.md b/documentation/docs/architecture.md
@@ -15,7 +15,7 @@ Deux composants distincts dans un même dépôt, industrialisés par une **uniqu
 │   └── vercel.json
 ├── .github/
 │   ├── workflows/ci-cd.yml         # pipeline principal durci (staging + main)
-│   ├── actions/trivy-scan/         # composite action — scan SBOM CycloneDX
+│   ├── actions/trivy-scan/         # composite action : scan SBOM CycloneDX
 │   ├── branch-protection/main.yml  # politique de protection documentée
 │   └── secrets-prod.yaml           # secrets chiffrés SOPS (valeurs ENC[...])
 ├── scripts/

diff --git a/documentation/docs/assets/Gitleaks.png b/documentation/docs/assets/Gitleaks.png
diff --git a/documentation/docs/assets/cd.png b/documentation/docs/assets/cd.png
diff --git a/documentation/docs/assets/ci-cd.webp b/documentation/docs/assets/ci-cd.webp
diff --git a/documentation/docs/assets/ci.png b/documentation/docs/assets/ci.png
diff --git a/documentation/docs/assets/codeql.png b/documentation/docs/assets/codeql.png
diff --git a/documentation/docs/assets/docker.png b/documentation/docs/assets/docker.png
diff --git a/documentation/docs/assets/github.png b/documentation/docs/assets/github.png
diff --git a/documentation/docs/assets/github_actions.png b/documentation/docs/assets/github_actions.png
diff --git a/documentation/docs/assets/github_pages.png b/documentation/docs/assets/github_pages.png
diff --git a/documentation/docs/assets/logo_ynov_campus_sophia.png b/documentation/docs/assets/logo_ynov_campus_sophia.png
diff --git a/documentation/docs/assets/nodejs.png b/documentation/docs/assets/nodejs.png
diff --git a/documentation/docs/assets/ram.png b/documentation/docs/assets/ram.png
diff --git a/documentation/docs/assets/skeleton-projet-final.zip b/documentation/docs/assets/skeleton-projet-final.zip
diff --git a/documentation/docs/assets/sops.png b/documentation/docs/assets/sops.png
diff --git a/documentation/docs/assets/sujet-projet-final.pdf b/documentation/docs/assets/sujet-projet-final.pdf
diff --git a/documentation/docs/assets/trivy.png b/documentation/docs/assets/trivy.png
diff --git a/documentation/docs/assets/vercel.png b/documentation/docs/assets/vercel.png
diff --git a/documentation/docs/ci.md b/documentation/docs/ci.md
@@ -1,5 +1,7 @@
 # Pipeline CI durci
 
+![Intégration continue](assets/ci.png){ .logo }
+
 Le workflow [`ci-cd.yml`](https://github.com/Sorway/DevSecOps/blob/main/.github/workflows/ci-cd.yml)
 agit comme une **barrière** : rien ne se déploie sans le succès complet des contrôles.
 

diff --git a/documentation/docs/composite-action.md b/documentation/docs/composite-action.md
@@ -1,4 +1,4 @@
-# Composite Action — Trivy SBOM
+# Composite Action : Trivy SBOM
 
 Pour centraliser la gouvernance de sécurité et éviter la redondance, le scan de dépendances au format
 SBOM est isolé dans une **action composite** locale, réutilisable en boîte noire.
@@ -11,6 +11,8 @@ et expose des entrées / sorties strictes.
 
 ## L'action `trivy-scan`
 
+![Trivy](assets/trivy.png){ .logo }
+
 Fichier [`.github/actions/trivy-scan/action.yml`](https://github.com/Sorway/DevSecOps/blob/main/.github/actions/trivy-scan/action.yml).
 
 ```yaml

diff --git a/documentation/docs/conformite.md b/documentation/docs/conformite.md
@@ -1,63 +1,228 @@
 # Conformité aux consignes
 
-Récapitulatif exigence par exigence, avec le lien vers l'implémentation. :material-check-decagram:
+Chaque exigence de l'énoncé, avec **sa preuve** : extrait de code réel, configuration, ou
+déploiement en ligne. Les blocs « Preuve » sont repliés, cliquez pour les ouvrir.
+
+[![CI CD durcie](https://github.com/Sorway/DevSecOps/actions/workflows/ci-cd.yml/badge.svg?branch=main)](https://github.com/Sorway/DevSecOps/actions/workflows/ci-cd.yml)
+
+**Preuves en ligne :** [Frontend](https://sorway.github.io/DevSecOps/) ·
+[API `/api/health`](https://projet-final-inky-iota.vercel.app/api/health) ·
+[Dépôt](https://github.com/Sorway/DevSecOps) ·
+[Image GHCR](https://github.com/Sorway/DevSecOps/pkgs/container/devsecops%2Fbackend)
 
 ## Gouvernance Git
 
-- [x] `staging` pivot d'intégration, CI complète à chaque événement — [détails](gouvernance.md)
+- [x] `staging` pivot d'intégration, CI complète à chaque événement
 - [x] `main` production, push directs interdits (ruleset `REVIEW_REQUIRED`)
-- [x] `on: push/pull_request: [staging, main]`
-- [x] Blocs `if: github.ref == 'refs/heads/main'` + matrice `needs` stricte
-- [x] Job de production lié à un `environment` nommé (`production` / `github-pages`)
+- [x] Déclenché sur `staging` **et** `main`, `if` sur `main`, `needs` strict, `environment` nommé
+
+??? example "Preuve : déclenchement, gating conditionnel et environnement (`ci-cd.yml`)"
+
+    ```yaml
+    on:
+      push:
+        branches: [staging, main]        # déclenché sur les deux branches
+      pull_request:
+        branches: [staging, main]
+
+    jobs:
+      deploy-backend:
+        if: github.ref == 'refs/heads/main'                       # bloc conditionnel de job
+        needs: [test, gitleaks, codeql, sbom-scan, docker-image]  # dépendance stricte
+        environment: production                                   # environnement nommé
+    ```
+
+    La protection de `main` est **effective** : toute PR y est en état `REVIEW_REQUIRED` et ne peut
+    être fusionnée sans revue (ruleset GitHub).
+
+## Durcissement local (Shift-Left)
+
+- [x] Hook `pre-commit` : `actionlint` + `gitleaks --staged` (bloquants)
+- [x] Refus des fichiers `.env` / `.pem` / `.key` avec message rouge, commit avorté
+- [x] Règle Gitleaks sur-mesure `SECWALLET_` + 24 caractères + entropie
+
+??? example "Preuve : contrôle de structure du hook (`scripts/pre-commit.sh`)"
+
+    ```bash
+    if [[ "$file" == *.env || "$file" == *.pem || "$file" == *.key ]]; then
+        echo -e "${RED}Sécurité : Tentative de commit d'un fichier de configuration ou d'une clé en clair. Opération annulée.${RESET}"
+        exit 1
+    fi
+    ```
 
-## Durcissement local
+??? example "Preuve : règle Gitleaks sur-mesure (`gitleaks.toml`)"
 
-- [x] Hook `pre-commit` : `actionlint` + `gitleaks --staged` (bloquants) — [détails](shift-left.md)
-- [x] Contrôle de structure `.env` / `.pem` / `.key` + message rouge, commit avorté
-- [x] Règle Gitleaks sur-mesure `SECWALLET_[A-Z0-9]{24}` + entropie
+    ```toml
+    [[rules]]
+    id       = "secwallet-internal-token"
+    regex    = '''SECWALLET_[A-Z0-9]{24}'''
+    entropy  = 3.5
+    keywords = ["SECWALLET_"]
+    ```
 
-## Secrets par enveloppe
+## Secrets par enveloppe (SOPS / age)
 
-- [x] Paire de clés **age** (privée `ops.txt`, ignorée par Git) — [détails](secrets.md)
-- [x] `.github/secrets-prod.yaml` chiffré SOPS : valeurs `ENC[...]`, clés lisibles (`encrypted_regex`)
-- [x] Déchiffrement runtime **en RAM**, aucun secret sur le disque du runner
+- [x] Paire de clés **age**, privée `ops.txt` (ignorée par Git)
+- [x] Chiffrement SOPS **sélectif** : valeurs `ENC[...]`, clés lisibles
+- [x] Déchiffrement runtime **en RAM**, aucun secret sur le disque
+
+??? example "Preuve : chiffrement sélectif (`.github/secrets-prod.yaml`)"
+
+    ```yaml
+    production:
+        DATABASE_URL: ENC[AES256_GCM,data:TCwiv...,type:str]   # valeur chiffrée
+        JWT_SECRET:   ENC[AES256_GCM,data:5bSz4...,type:str]
+        API_KEY:      ENC[AES256_GCM,data:oV5AU...,type:str]
+    sops:
+        encrypted_regex: ^(DATABASE_URL|JWT_SECRET|API_KEY)$   # seules ces valeurs
+    ```
+
+??? example "Preuve : déchiffrement en RAM, sans fichier (`ci-cd.yml`, job `deploy-backend`)"
+
+    ```bash
+    export SOPS_AGE_KEY                                                     # clé en mémoire seulement
+    secrets_json="$(sops -d --output-type json .github/secrets-prod.yaml)"  # déchiffré en RAM
+    # aucun mktemp, aucun SOPS_AGE_KEY_FILE : rien n'est écrit sur le disque du runner
+    ```
 
 ## Conteneurisation & GHCR
 
-- [x] `Dockerfile` multi-stage, non-root (`node:24-alpine`) — [détails](conteneurisation.md)
-- [x] Build conditionné au filtrage de chemins (`dorny/paths-filter`)
-- [x] Scan de l'image (Trivy `HIGH,CRITICAL`) avant publication
-- [x] Publication GHCR conditionnelle (scan OK + `main`), tag = SHA du commit
+- [x] `Dockerfile` multi-stage, non-root (`node:24-alpine`)
+- [x] Build conditionné au filtrage de chemins
+- [x] Scan Trivy de l'image avant publication
+- [x] Publication GHCR conditionnelle (scan OK + `main`), tag = SHA
+
+??? example "Preuve : Dockerfile multi-stage non-root (`backend/Dockerfile`)"
+
+    ```dockerfile
+    FROM node:24-alpine AS deps
+    WORKDIR /app
+    COPY package*.json ./
+    RUN npm ci --omit=dev
+
+    FROM node:24-alpine AS runtime
+    RUN apk upgrade --no-cache \
+      && addgroup -S nodeapp && adduser -S nodeapp -G nodeapp
+    COPY --from=deps /app/node_modules ./node_modules
+    USER nodeapp
+    ```
+
+??? example "Preuve : filtrage, scan et push conditionnel (`ci-cd.yml`, job `docker-image`)"
+
+    ```yaml
+    - uses: dorny/paths-filter@v4
+      id: filter
+      with:
+        filters: |
+          backend:
+            - 'backend/**'
+            - '.github/workflows/ci-cd.yml'
+    - name: Scan backend image
+      if: steps.filter.outputs.backend == 'true'
+      run: trivy image --exit-code 1 --severity HIGH,CRITICAL "${{ steps.meta.outputs.image }}"
+    - name: Push backend image to GHCR
+      if: github.ref == 'refs/heads/main' && steps.filter.outputs.backend == 'true'
+      run: docker push "ghcr.io/${GITHUB_REPOSITORY,,}/backend:${GITHUB_SHA}"
+    ```
 
 ## Pipeline CI durci
 
-- [x] `permissions: contents: read` global, écritures isolées au job — [détails](ci.md)
+- [x] `permissions: contents: read` global, écritures isolées au job
 - [x] Cache des dépendances Node
-- [x] CodeQL + upload SARIF, échec sur `High`/`Error` — [détails](sast.md)
-- [x] Tests bloquants ; Gitleaks exit ≠ 0 ; **aucun `continue-on-error: true`**
+- [x] CodeQL + upload SARIF, échec sur `High`/`Error`
+- [x] Tests bloquants, Gitleaks exit ≠ 0, **aucun `continue-on-error`**
+
+??? example "Preuve : moindre privilège (`ci-cd.yml`)"
+
+    ```yaml
+    permissions:
+      contents: read        # global : lecture seule
+
+    jobs:
+      docker-image:
+        permissions:
+          packages: write    # écriture isolée à ce job
+      codeql:
+        permissions:
+          security-events: write
+    ```
+
+??? example "Preuve : CodeQL fait échouer sur une faille majeure (`ci-cd.yml`)"
+
+    ```yaml
+    - name: Fail on CodeQL high severity
+      run: |
+        jq -e '[ .runs[].results[]
+          | select((.level=="error") or (.properties["security-severity"] // "0" | tonumber >= 7.0))
+        ] | length == 0' codeql-results/javascript.sarif
+    ```
 
 ## Composite Action
 
-- [x] `.github/actions/trivy-scan/action.yml` de type composite — [détails](composite-action.md)
-- [x] Entrée obligatoire = chemin du SBOM CycloneDX JSON
+- [x] `.github/actions/trivy-scan/action.yml` de type composite
+- [x] Entrée obligatoire = chemin du SBOM CycloneDX
 - [x] `trivy sbom` : échec sur `CRITICAL`, avertissement sur `HIGH`/`MEDIUM`
-- [x] Installe Trivy elle-même (boîte noire réutilisable)
+- [x] Installe Trivy elle-même (boîte noire)
+
+??? example "Preuve : action composite (`.github/actions/trivy-scan/action.yml`)"
+
+    ```yaml
+    inputs:
+      sbom-path:
+        required: true            # entrée obligatoire
+    runs:
+      using: composite
+      steps:
+        - name: Ensure Trivy is installed   # boîte noire : elle s'installe seule
+          shell: bash
+          run: command -v trivy >/dev/null 2>&1 || { curl -sfL ... ; sudo install trivy /usr/local/bin/ ; }
+        - name: Scan CRITICAL vulnerabilities
+          shell: bash
+          run: trivy sbom --exit-code 1 --severity CRITICAL --format table "${{ inputs.sbom-path }}"
+        - name: Summarize HIGH and MEDIUM     # avertissement seulement
+          shell: bash
+          run: trivy sbom --exit-code 0 --severity HIGH,MEDIUM ... >> "$GITHUB_STEP_SUMMARY"
+    ```
 
 ## Déploiement continu
 
-- [x] Frontend GitHub Pages, `main` uniquement, OIDC (`pages` + `id-token: write`) — [détails](deploiement.md)
+- [x] Frontend GitHub Pages, `main` uniquement, OIDC (`pages` + `id-token: write`)
 - [x] `upload-pages-artifact` du `/frontend` + `deploy-pages` (hermétique)
-- [x] Backend Vercel en CLI, `needs` sécurité + livraison
-- [x] Déchiffrement SOPS en RAM, injection à la volée (`--env`)
+- [x] Backend Vercel, `needs` sécurité + livraison, secrets en RAM
+
+??? example "Preuve : frontend en OIDC (`ci-cd.yml`, job `deploy-frontend`)"
+
+    ```yaml
+    if: github.ref == 'refs/heads/main'
+    needs: [test, gitleaks, codeql, sbom-scan, docker-image]
+    environment:
+      name: github-pages
+      url: ${{ steps.deployment.outputs.page_url }}
+    permissions:
+      pages: write
+      id-token: write
+    ```
+
+??? example "Preuve : backend Vercel, secrets injectés à la volée (`ci-cd.yml`)"
+
+    ```bash
+    vercel pull --yes --environment=production --token "$VERCEL_TOKEN"
+    vercel deploy backend --prod --yes --token "$VERCEL_TOKEN" "${env_args[@]}"   # --env=K=V en RAM
+    ```
 
 ## Robustesse
 
-- [x] Concurrence annulante (`cancel-in-progress: true`) — [détails](robustesse.md)
+- [x] Concurrence annulante (`cancel-in-progress: true`)
 - [x] Healthcheck `curl --fail /api/health`, échec si ≠ 200
 
----
+??? example "Preuve : concurrence et healthcheck (`ci-cd.yml`)"
+
+    ```yaml
+    concurrency:
+      group: ci-cd-${{ github.ref }}
+      cancel-in-progress: true
 
-!!! success "Livrables"
-    - **Frontend** : [sorway.github.io/DevSecOps](https://sorway.github.io/DevSecOps/)
-    - **API** : [projet-final-inky-iota.vercel.app](https://projet-final-inky-iota.vercel.app) (`/api/health`)
-    - **Dépôt** : [github.com/Sorway/DevSecOps](https://github.com/Sorway/DevSecOps)
+    # ... en fin de job deploy-backend :
+    - name: Healthcheck
+      run: curl --fail --silent --show-error "${{ steps.vercel.outputs.url }}/api/health"
+    ```
diff --git a/documentation/docs/conteneurisation.md b/documentation/docs/conteneurisation.md
@@ -1,5 +1,7 @@
 # Conteneurisation & GHCR
 
+![Docker](assets/docker.png){ .logo }
+
 L'artefact serveur du backend est construit et publié en image Docker **sécurisée**.
 
 ## Dockerfile multi-stage non-root