Introduction
La sécurité dans le développement logiciel est devenue une priorité, et pour cause. Les attaques sur la chaîne d'approvisionnement sont en hausse, et chaque nouvelle mise à jour de package représente une potentielle vulnérabilité. Pour contrer ce risque, GitHub a décidé d'introduire un 'cooldown' par défaut de trois jours pour les mises à jour de version via Dependabot.
Pourquoi un délai de trois jours ?
L'idée derrière ce délai est simple mais efficace. Lorsqu'une nouvelle version d'un package est publiée, elle est immédiatement disponible pour les mises à jour. Cependant, ces nouvelles versions peuvent introduire des bugs ou pire, être compromises. Le délai de trois jours permet à la communauté et aux mainteneurs de détecter et signaler tout problème potentiel avant que la mise à jour ne soit fusionnée dans votre projet.
Données sur les attaques de la chaîne d'approvisionnement
En 2023, les attaques sur la chaîne d'approvisionnement ont augmenté de 42% selon un rapport de Sonatype. Les cybercriminels ciblent de plus en plus les nouveaux packages ou les mises à jour de version pour introduire du code malveillant.
Comment fonctionne le cooldown de Dependabot
Désormais, lorsque Dependabot détecte une nouvelle version, il attend trois jours avant de créer une pull request pour la mise à jour. Cela ne nécessite aucune configuration de votre part. Cependant, GitHub offre la flexibilité de modifier ou désactiver ce délai via le fichier .github/dependabot.yml en cas de besoin.
Exceptions pour les mises à jour de sécurité
Il est important de noter que les mises à jour de sécurité ne sont pas affectées par ce délai. Les correctifs critiques sont ouverts immédiatement pour garantir que les vulnérabilités soient corrigées sans délai.
Cas d'usage et retour d'expérience
Prenons l'exemple d'une entreprise tech qui utilise extensively des packages open-source. Depuis la mise en place de ce délai, ils ont pu éviter l'incorporation d'une version de package qui contenait un bug critique non détecté lors de sa publication initiale. Ce délai leur a permis d'économiser des heures de dépannage et de correction.
Statistiques d'adoption
Depuis son introduction, plus de 60% des projets utilisant Dependabot ont adopté le délai par défaut, selon les statistiques internes de GitHub. Cela montre une adoption rapide et une reconnaissance de l'utilité de cette mesure.
Conclusion
Le cooldown par défaut de Dependabot est une initiative bienvenue pour améliorer la sécurité de la chaîne d'approvisionnement des logiciels. En ajoutant une couche de sécurité supplémentaire, les développeurs et décideurs peuvent se concentrer sur l'innovation tout en minimisant les risques.
Discutons de ton projet en 15 minutes.