Fintech
Pipeline DevSecOps — Fintech réglementée
Une fintech européenne réglementée PCI DSS opérait son CI/CD sur des scripts shell. 12 jours de lead time, des releases nocturnes, 40 % d'incidents liés aux déploiements. Notre mission : industrialiser sans compromettre la conformité.
Contexte
Une fintech européenne soumise à PCI DSS avait construit son pipeline CI/CD à coup de scripts shell et de déploiements manuels. Le lead time moyen de mise en production s'élevait à 12 jours et chaque release mobilisait l'équipe entière pendant une nuit. Les incidents post-déploiement représentaient 40 % des escalades client.
01 — Le défi
Le défi
Le pipeline existant ne produisait aucune preuve d'audit exploitable. Chaque déploiement était une opération manuelle risquée, sans rollback automatique. La conformité PCI DSS reposait sur un rapport annuel rédigé à la main, non sur des contrôles continus. Il fallait construire un pipeline capable de répondre aux exigences PCI DSS v4.0 tout en permettant à l'équipe de livrer plusieurs fois par semaine.
02 — L'approche
L'approche
GitHub Actions avec workflows séparés par type de livrable. SAST Semgrep (ruleset PCI), Trivy sur les images, Gitleaks, DAST OWASP ZAP sur staging. Secrets dans HashiCorp Vault avec rotation automatique toutes les 72h. Argo CD en mode GitOps strict, déploiements blue/green sur EKS avec Argo Rollouts et rollback SLI automatique sous 90 secondes. Matrice de contrôles PCI DSS qui génère les preuves d'audit directement depuis les logs CI.
Cartographie & cadrage PCI
Audit du pipeline existant, identification des exigences PCI DSS v4.0 applicables, définition des outils et de la matrice de contrôles.
Construction du pipeline sécurisé
Mise en place GitHub Actions, intégration SAST/DAST/SCA, Vault pour la gestion des secrets, Argo CD GitOps avec blue/green et rollback automatique.
Certification & transfert
Audit QSA accompagné, PCI DSS v4.0 obtenu au premier passage, formation des équipes, documentation opérationnelle et runbooks.
03 — Résultats
Résultats
En production : lead time de 12 jours à 3,5 jours (−70 %), incidents post-déploiement −85 %, 18 déploiements par semaine sans astreinte supplémentaire. Conformité PCI DSS v4.0 obtenue dès le premier audit externe. La préparation du rapport annuel est passée de 6 semaines à 4 jours.
Le lead time est passé de 12 jours à 3,5 jours et la conformité PCI DSS v4.0 a été obtenue dès le premier audit externe.
Détails techniques
Objectif & cadrage
L'objectif : industrialiser le pipeline, intégrer les contrôles de sécurité en continu et obtenir la conformité PCI DSS sans ralentir la vélocité produit.
Pipeline GitHub Actions & contrôles de sécurité
Nous avons restructuré l'ensemble du pipeline autour de GitHub Actions avec des workflows séparés par type de livrable (API, front, infrastructure). Chaque commit déclenche : Semgrep (SAST) avec un ruleset PCI spécifique, Trivy sur les images Docker, Gitleaks sur l'historique, et un DAST OWASP ZAP en mode actif sur l'environnement de staging. Les secrets sont gérés dans HashiCorp Vault avec rotation automatique toutes les 72 heures — exigence directe du chapitre 3 de PCI DSS.
Déploiement GitOps & rollback automatique
Le déploiement est orchestré par Argo CD en mode GitOps strict : la branche main est l'unique source de vérité pour l'état production. Chaque déploiement applique un blue/green sur EKS avec analyse automatique (error rate, latence p95, saturation CPU) via Argo Rollouts. Le rollback s'active en moins de 90 secondes si l'un des SLI franchit son seuil. Cette mécanique a permis de passer de 3 déploiements par mois à 18 par semaine sans augmenter l'astreinte.
Cartographie des contrôles PCI DSS v4.0
La partie la plus chronophage a été la cartographie des contrôles PCI DSS (v4.0) sur nos pratiques CI/CD. Nous avons produit une matrice de contrôles qui génère automatiquement les rapports d'audit depuis les logs CI, ce qui a réduit le temps de préparation du rapport annuel de 6 semaines à 4 jours.
Livrables
- Pipeline GitHub Actions avec workflows séparés par type de livrable
- Contrôles de sécurité continus : Semgrep (SAST), Trivy, Gitleaks, OWASP ZAP (DAST)
- Gestion des secrets HashiCorp Vault avec rotation automatique toutes les 72 heures
- Déploiement Argo CD GitOps avec blue/green sur EKS et Argo Rollouts
- Rollback automatique sous 90 secondes piloté par les SLI
- Matrice de contrôles PCI DSS v4.0 générant les rapports d'audit depuis les logs CI