Contexte : spec « Coffre de secrets ObsiGate » §15, §16. Issue transversale, à fermer en dernier.
Périmètre :
Crypto : chiffrement/déchiffrement, tag invalide refusé, rotation KEK puis DEK puis secret, mode dégradé sans KEK.
Ancrage : le nœud Secrets n'apparaît que sous le Home de l'utilisateur courant ; recherche, graphe et index ne contiennent aucune métadonnée de secret ; clic sans effet sur la navigation de fichiers.
Autorisations : chaque ligne de la matrice testée, y compris admin contre coffre personnel d'autrui et ACL « * ».
Distribution : contexte manquant refusé, octroi révoqué refusé au prochain appel, expiration respectée, audit complet sans valeur (grep du journal sur la valeur de test = vide).
Intégrations : mission Spark en acces_requis sans octroi, injection exécuteur sans trace dans les étapes ; synchro TikTak sans valeur côté Android ; isolation workspace Flowdeck.
Restauration : sauvegarde + KEK externe restaurées sur une instance vierge, distributions fonctionnelles.
Déploiement : OBSIGATE_SECRETS_ENABLED, OBSIGATE_KEK / OBSIGATE_KEK_FILE, dépendance cryptography ; travail en branche + pull request, jamais sur main, jamais merge sans l'accord de Bruno.
Décisions ouvertes de la spec à trancher avant mise en service (défauts recommandés) : glyphe cadenas U+1F510 ; KEK par fichier 0600 hors dépôt ; expiration par défaut des octrois 90 jours, renouvelable ; copie manuelle presse-papiers seul, sans affichage ; coffres partagés en phase 2 (personnel d'abord).
Critères d'acceptation :
Toutes les suites ci-dessus vertes, sur une instance de test, avant tout usage réel.
Validation de Bruno sur capture sidebar + secret de test + journal d'audit.
Contexte : spec « Coffre de secrets ObsiGate » §15, §16. Issue transversale, à fermer en dernier.
Périmètre :
- Crypto : chiffrement/déchiffrement, tag invalide refusé, rotation KEK puis DEK puis secret, mode dégradé sans KEK.
- Ancrage : le nœud Secrets n'apparaît que sous le Home de l'utilisateur courant ; recherche, graphe et index ne contiennent aucune métadonnée de secret ; clic sans effet sur la navigation de fichiers.
- Autorisations : chaque ligne de la matrice testée, y compris admin contre coffre personnel d'autrui et ACL « * ».
- Distribution : contexte manquant refusé, octroi révoqué refusé au prochain appel, expiration respectée, audit complet sans valeur (grep du journal sur la valeur de test = vide).
- Intégrations : mission Spark en acces_requis sans octroi, injection exécuteur sans trace dans les étapes ; synchro TikTak sans valeur côté Android ; isolation workspace Flowdeck.
- Restauration : sauvegarde + KEK externe restaurées sur une instance vierge, distributions fonctionnelles.
- Déploiement : OBSIGATE_SECRETS_ENABLED, OBSIGATE_KEK / OBSIGATE_KEK_FILE, dépendance cryptography ; travail en branche + pull request, jamais sur main, jamais merge sans l'accord de Bruno.
- Décisions ouvertes de la spec à trancher avant mise en service (défauts recommandés) : glyphe cadenas U+1F510 ; KEK par fichier 0600 hors dépôt ; expiration par défaut des octrois 90 jours, renouvelable ; copie manuelle presse-papiers seul, sans affichage ; coffres partagés en phase 2 (personnel d'abord).
Critères d'acceptation :
- Toutes les suites ci-dessus vertes, sur une instance de test, avant tout usage réel.
- Validation de Bruno sur capture sidebar + secret de test + journal d'audit.
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Contexte : spec « Coffre de secrets ObsiGate » §15, §16. Issue transversale, à fermer en dernier.
Périmètre :
Critères d'acceptation :