Security Scan #75

	name: Security Scan

	# Scan de vulnérabilités (CVE) dans les dépendances pub.
	# Utilise les workflows réutilisables officiels de Google qui gèrent
	# correctement le SARIF + l'upload vers Security tab.

	# `pull_request` sans filtre de branche cible : une branche de travail est
	# scannée dès qu'elle est proposée à la fusion, y compris vers une autre
	# branche que `main`. Le `push` reste volontairement limité à `main` — le job
	# planifié pousse du SARIF dans l'onglet Security, et le faire à chaque commit
	# intermédiaire d'une branche noierait les vrais signaux. C'est `scan-pr` qui
	# couvre le travail en cours, avec un commentaire de diff plutôt qu'un upload.
	on:
	push:
	branches: [main]
	pull_request:
	schedule:
	- cron: '0 6 * * 1'

	permissions:
	actions: read
	contents: read
	security-events: write

	jobs:
	scan-scheduled:
	if: github.event_name != 'pull_request'
	uses: "google/osv-scanner-action/.github/workflows/osv-scanner-reusable.yml@v2.2.3"
	with:
	scan-args: \|-
	--recursive
	./

	scan-pr:
	if: github.event_name == 'pull_request'
	uses: "google/osv-scanner-action/.github/workflows/osv-scanner-reusable-pr.yml@v2.2.3"
	with:
	scan-args: \|-
	--recursive
	./

Navigation Menu