codeql.yml

# Workflow CodeQL pour l'analyse de sécurité statique (SAST)
# https://github.com/github/codeql-action

name: "CodeQL Analysis"

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]
  schedule:
    # Analyse hebdomadaire le lundi à 6h00 UTC
    - cron: "0 6 * * 1"

# Permissions minimales (bonne pratique sécurité)
permissions:
  actions: read      # Pour accéder aux infos du workflow run
  contents: read
  # La seule écriture du workflow, et elle est nécessaire : c'est par elle
  # que CodeQL dépose son SARIF dans l'onglet Sécurité. Sans elle, l'analyse
  # tourne et ses constats ne sont publiés nulle part.
  security-events: write

jobs:
  analyze:
    name: Analyze
    runs-on: ubuntu-24.04

    strategy:
      fail-fast: false
      matrix:
        language: [python]

    steps:
      # Checkout du code source
      - name: Checkout repository
        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
        with:
          # Sans cette ligne, checkout laisse le jeton du job dans
          # `.git/config`, où tout step suivant peut le lire. C'est le constat
          # `artipacked` de zizmor, et ce dépôt ne peut pas l'enseigner dans
          # ses labs en le commettant dans les siens.
          persist-credentials: false

      # Initialisation de CodeQL
      - name: Initialize CodeQL
        uses: github/codeql-action/init@24c54180a607b1449ed407dd24f251e4e9147c8d # v4.38.3
        with:
          languages: ${{ matrix.language }}
          # Requêtes de sécurité étendues
          queries: +security-extended

      # Auto-build (CodeQL détecte automatiquement le langage)
      - name: Autobuild
        uses: github/codeql-action/autobuild@24c54180a607b1449ed407dd24f251e4e9147c8d # v4.38.3

      # Analyse CodeQL
      - name: Perform CodeQL Analysis
        uses: github/codeql-action/analyze@24c54180a607b1449ed407dd24f251e4e9147c8d # v4.38.3
        with:
          category: "/language:${{ matrix.language }}"