ci: images de base Chainguard signées et vérifiées, dépendances épinglées avec hashes #6

Merged

solene merged 1 commit from ci-pr into main

2026-10-31 16:03:14 +00:00

solene commented

2026-10-31 16:01:14 +00:00

Owner

Containerfile en deux étapes sur cgr.dev/chainguard/python (latest-dev pour le venv,
latest pour l'exécution, sans shell ni pip), épinglé par digest.
La CI vérifie avec cosign la signature Sigstore de chaque image de base (identité du
workflow de publication de Chainguard) avant de construire, puis importe les modules
dans l'image construite.
requirements.txt : toutes les dépendances, indirectes comprises, en version exacte avec
hashes ; pip installe en --require-hashes --only-binary=:all:.
Renovate épingle et met à jour les digests du Containerfile.
Reconstruction hebdomadaire supprimée : tout est épinglé, les mises à jour passent par
Renovate.

Co-Authored-By: Claude Opus 5.5 noreply@anthropic.com

- Containerfile en deux étapes sur cgr.dev/chainguard/python (latest-dev pour le venv, latest pour l'exécution, sans shell ni pip), épinglé par digest. - La CI vérifie avec cosign la signature Sigstore de chaque image de base (identité du workflow de publication de Chainguard) avant de construire, puis importe les modules dans l'image construite. - requirements.txt : toutes les dépendances, indirectes comprises, en version exacte avec hashes ; pip installe en --require-hashes --only-binary=:all:. - Renovate épingle et met à jour les digests du Containerfile. - Reconstruction hebdomadaire supprimée : tout est épinglé, les mises à jour passent par Renovate. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

solene added 1 commit

2026-10-31 16:01:14 +00:00

ci: images de base Chainguard signées et vérifiées, dépendances épinglées avec hashes

image / publier (pull_request) Successful in 32s

Details

5d59369a4b

- Containerfile en deux étapes sur cgr.dev/chainguard/python (latest-dev pour le venv,
  latest pour l'exécution, sans shell ni pip), épinglé par digest.
- La CI vérifie avec cosign la signature Sigstore de chaque image de base (identité du
  workflow de publication de Chainguard) avant de construire, puis importe les modules
  dans l'image construite.
- requirements.txt : toutes les dépendances, indirectes comprises, en version exacte avec
  hashes ; pip installe en --require-hashes --only-binary=:all:.
- Renovate épingle et met à jour les digests du Containerfile.
- Reconstruction hebdomadaire supprimée : tout est épinglé, les mises à jour passent par
  Renovate.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

solene merged commit 03ef3ed81e into main

2026-10-31 16:03:14 +00:00

solene referenced this pull request from a commit

2026-10-31 16:03:15 +00:00

Merge pull request 'ci: images de base Chainguard signées et vérifiées, dépendances épinglées avec hashes' (#6) from ci-pr into main

solene deleted branch ci-pr

2026-10-31 16:03:18 +00:00