pipeline-template-pentesting/examples/caller-example.yml at main · codeaseguro/pipeline-template-pentesting · GitHub

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
# EJEMPLO: cómo consumir el template desde OTRO repositorio.
# Copiá este archivo a: .github/workflows/pentest.yml en tu proyecto.
# Ajustá la ref si querés fijar versión (@v1 estable · @main último · @<SHA> inmutable).
name: Pentest

on:
  workflow_dispatch:      # correr a mano
  schedule:
    - cron: "0 3 * * 1"   # todos los lunes 03:00 UTC
  pull_request:           # opcional: en cada PR

jobs:
  # Opción A ─ escaneo estático (secretos + deps), no necesita app levantada.
  static:
    uses: codeaseguro/pipeline-template-pentesting/.github/workflows/pentest-template.yml@v1
    with:
      target_url: "http://localhost:3000"   # placeholder; no se usa en estos jobs
      run_gitleaks: true
      run_npm_audit: true
      run_nuclei: false
      run_zap_baseline: false
      run_zap_api_scan: false
      fail_on_findings: true
    secrets: inherit

  # Opción B ─ DAST contra un entorno efímero que levantás vos primero.
  # Para que Nuclei/ZAP vean tu app, levantala en un job previo o en un
  # entorno de staging accesible por URL, y pasá esa URL como target_url.
  dast:
    uses: codeaseguro/pipeline-template-pentesting/.github/workflows/pentest-template.yml@v1
    with:
      target_url: "https://staging.mi-api.example.com"
      openapi_url: "https://staging.mi-api.example.com/docs-json"
      nuclei_tags: "exposure,misconfiguration,cve"
      nuclei_severity: "medium,high,critical"
      run_nuclei: true
      run_zap_baseline: true
      run_zap_api_scan: true
      run_business_logic: true
      fail_on_findings: false   # reportar sin romper el build al principio
    secrets: inherit