INC-001
Variable GitLab CI Protected sur feature branch
Sprint 0
🟢 Low
✅ Résolu
pydantic_core.ValidationError: SECRET_KEY Field required
---
cliquer pour les détails →
INC-002
Pydantic BaseSettings priorité .env vs variables d'environnement
Sprint 0
🟢 Low
✅ Résolu
Connection refused: localhost:5432
---
cliquer pour les détails →
INC-003
Migration Alembic dupliquée
Sprint 0
🟢 Low
✅ Résolu
sqlalchemy.exc.ProgrammingError: DuplicateTable relation "users" already exists
📊 Résumé Sprint 0
cliquer pour les détails →
INC-004
CVEs en cascade depuis une dépendance inutilisée
Sprint 1
🟠 High
✅ Résolu
17 HIGH CVEs détectés dans la pipeline
---
cliquer pour les détails →
INC-005
python-jose CVE CRITICAL (CVE-2024-33663)
Sprint 1
🔴 Critical
✅ Résolu
CRITICAL: python-jose algorithm confusion with ECDSA keys
---
cliquer pour les détails →
INC-006
passlib incompatible bcrypt >= 4.0
Sprint 1
🟢 Low
✅ Résolu
AttributeError: module 'bcrypt' has no attribute '__about__'
---
cliquer pour les détails →
INC-007
CVEs OS image de base Docker (python:3.10-slim)
Sprint 1
🟢 Low
✅ Résolu
14 CVEs OS Debian 13.4 — status "affected" (pas de fix)
📊 Résumé Sprint 1
cliquer pour les détails →
INC-008
Terraform state lock S3 non libéré
Sprint 2
🟢 Low
✅ Résolu
Error: Error acquiring the state lock
---
cliquer pour les détails →
INC-009
Ressources AWS hors state Terraform (ECR, IAM)
Sprint 2
🟢 Low
✅ Résolu
RepositoryAlreadyExistsException: ECR repository already exists
---
cliquer pour les détails →
INC-010
EKS Node Group bloqué sans NAT Gateway (27+ min)
Sprint 2
🟢 Low
✅ Résolu
module.eks.aws_eks_node_group.main: Still creating... [27m36s elapsed]
---
cliquer pour les détails →
INC-011
ENIs orphelins après terraform destroy
Sprint 2
🟢 Low
✅ Résolu
DependencyViolation: The network interface 'eni-xxx' is already associated with another allocation
---
cliquer pour les détails →
INC-012
RDS snapshot non supprimé (coûts)
Sprint 2
🟢 Low
✅ Résolu
Snapshots RDS toujours facturés 24h après destroy
📊 Résumé Sprint 2
cliquer pour les détails →
INC-013
ELB manquant après Envoy Gateway
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-014
RBAC manquant pour bootstrap Job
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-015
Metrics-server non installé (HPA échoue)
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-016
Alembic in-container vs init container
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-017
Envoy Gateway upstream mutable
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-018
ConfigMap montée en volume vide
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-019
ServiceAccount token absent
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-020
Image ECR pull rate limit
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-021
Probes (liveness/readiness) timeout
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-022
HPA metrics CPU insuffisantes
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-023
Terraform ELB sec groups pas générés
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-024
GitLab CI job sans entrypoint sur images spéciales
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-025
Variables projet écrasent variables YAML
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-026
terraform.tfvars gitignored → TF_VAR_ en CI
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-027
pip introuvable dans alpine/ansible
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-028
Envoy Gateway Helm repo HTTP 404 (migration OCI)
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-029
eks:DescribeCluster manquant pour user CI
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-030
needs DAG vs stages pour destroy infra
Sprint 3
🟢 Low
✅ Résolu
cliquer pour les détails →
INC-031
AmazonEKSClusterPolicy attachée à un IAM user
Sprint 3
🟢 Low
✅ Résolu
youss_admin ne peut pas kubectl malgré la policy attachée
cliquer pour les détails →
INC-032
eks:DescribeCluster manquant pour gitlab-ci
Sprint 3
🟢 Low
✅ Résolu
AccessDeniedException eks:DescribeCluster dans le deploy job
cliquer pour les détails →
INC-033
kubectl cluster-info forbidden
Sprint 3
🟢 Low
✅ Résolu
cannot list services in namespace kube-system
cliquer pour les détails →
INC-034
kubectl create namespace forbidden + doublon bootstrap
Sprint 3
🟢 Low
✅ Résolu
namespaces is forbidden pour gitlab-ci
cliquer pour les détails →
INC-035
Init:InvalidImageName — ${ECR_IMAGE} non substitué
Sprint 3
🟢 Low
✅ Résolu
Failed to apply default image tag "${ECR_IMAGE}"
cliquer pour les détails →
INC-036
DB_PASSWORD manquant dans fastapi-secrets
Sprint 3
🟢 Low
✅ Résolu
Pydantic ValidationError: DB_PASSWORD Field required
cliquer pour les détails →
INC-037
terraform apply ancien pipeline → No changes
Sprint 3
🟢 Low
✅ Résolu
Fix mergé mais policy non mise à jour dans AWS
cliquer pour les détails →
INC-038
State lock avec mauvais credentials
Sprint 3
🟢 Low
✅ Résolu
Error acquiring the state lock avec youss_admin
cliquer pour les détails →
INC-039
Hardening Sprint 3 jamais appliqué sur EKS (deploy fichier par fichier)
Sprint 3
🟢 Low
✅ Résolu
PSA, ServiceAccount, PDB et NetworkPolicy absents du cluster malgré des manifests durcis et validés
Déployer le même artefact que celui qu'on lint (`kustomize build` = source de vérité), tester end-to-end sur EKS et pas
cliquer pour les détails →
INC-040
terraform apply rejeté : accent dans une description de SG
Sprint 3
🟢 Low
✅ Résolu
`egress.0.description doesn't comply with restrictions` (regex ASCII AWS) sur `module.rds.aws_securi
Tout en anglais ASCII dans la conf ; ni tfsec ni terraform validate/plan n'attrapent ça (contrainte imposée par l'API AW
cliquer pour les détails →
SEC-001
Mot de passe DB en clair dans les docs publiques (issue #41)
Sprint 3
🔐 SEC
🔴 Critical
✅ Résolu
`TF_VAR_db_password` avec sa valeur réelle visible dans le repo public
Ne jamais écrire de valeurs réelles dans la documentation, même à titre d'exemple
cliquer pour les détails →
SEC-002
CORS misconfiguration (issue #42)
Sprint 3
🔐 SEC
🟠 High
✅ Résolu
`allow_origins=["*"]` + `allow_credentials=True` → combinaison interdite par la spec CORS, tous les
`allow_credentials=True` exige des origins explicites, jamais de wildcard
cliquer pour les détails →
SEC-003
securityContext container incomplet (issue #43)
Sprint 3
🔐 SEC
🟠 High
✅ Résolu
Hardening container-level absent (`allowPrivilegeEscalation`, `readOnlyRootFilesystem`, `capabilitie
Le securityContext pod-level (`runAsNonRoot`) ne suffit pas, le hardening container-level est obligatoire
cliquer pour les détails →
SEC-004
Haute disponibilité absente (issue #44)
Sprint 3
🔐 SEC
🟠 High
✅ Résolu
`replicas: 1` = SPOF, aucun PodDisruptionBudget = pod détruit sans garantie lors d'un node drain
`replicas >= 2` + PDB est le minimum pour toute application en production
cliquer pour les détails →
SEC-005
ServiceAccount default avec token monté (issue #45)
Sprint 3
🔐 SEC
🟠 High
✅ Résolu
Pod utilisait le SA `default` avec token Kubernetes monté automatiquement — vecteur d'attaque si RCE
Un ServiceAccount dédié par application, token désactivé sauf besoin explicite (API K8s ou IRSA AWS)
cliquer pour les détails →
INC-041
kubectl i/o timeout : jobs sur runner GitLab partagé
Sprint 3
🟢 Low
✅ Résolu
`kubectl get nodes` → `dial tcp ...:443: i/o timeout` sur infra-start et bootstrap
Toujours pinner le runner via `tags`. Un i/o timeout sur l'API EKS = problème réseau/CIDR, pas auth (qui donnerait 401/4
cliquer pour les détails →
INC-042
Variable Protected non injectée sur feature branch
Sprint 3
🟢 Low
✅ Résolu
`TF_VAR_cluster_public_access_cidrs` absente en CI sur les branches non protégées, terraform utilisa
Distinguer secret (Protected) de non-secret. Une variable Protected casse la capacité à valider en MR avant merge
cliquer pour les détails →
INC-043
Ansible : until condition crash + connexion SSH sur localhost
Sprint 3
🟢 Low
✅ Résolu
(1) `object of type 'dict' has no attribute 'resources'` ; (2) `ssh: connect to host localhost port
Toujours `default()` une variable registered dans une condition `until` ; `connection: local` pour les plays kubernetes.
cliquer pour les détails →
INC-044
Bootstrap 401 : régression de la lib Python kubernetes 36.0.0
Sprint 3
🟢 Low
✅ Résolu
kubernetes.core → `401 Unauthorized` sur toutes les tasks, alors que `kubectl get nodes` passe dans
**Pinner les versions des libs critiques en CI.** `pip install <lib>` sans pin = une release upstream peut casser l'infr
cliquer pour les détails →
INC-045
PSA jamais enforced sur EKS : namespace owné par le bootstrap, pas par le deploy
Sprint 3
🟢 Low
✅ Résolu
`kubectl apply -k k8s/base/` → `Error from server (Forbidden)` sur le patch du Namespace `fastapi` (
Une ressource cluster-scoped (Namespace + labels PSA) doit être ownée par le bootstrap cluster-admin, pas par le deploy
cliquer pour les détails →
INC-046
NetworkPolicy appliquées mais non enforced sur EKS (VPC CNI self-managed)
Sprint 3
🟢 Low
✅ Résolu
Dans la foulée du fix PSA, test négatif sur les NetworkPolicy : depuis le pod `fastapi`, une sortie
**« Configuré n'est pas enforced »** (2e occurrence après PSA). Un manifest NetworkPolicy valide, appliqué et linté ne p
cliquer pour les détails →
INC-047
Premier essai : ClusterRole d'agrégation sur les CRDs ESO (deploy app 403) (2026-05-29)
Sprint 3
🟢 Low
✅ Résolu
Run du deploy app post-merge MR-D (#33), `kubectl apply -k k8s/base/` tombe en `Forbidden` sur les n
Le `can-i --as=<ARN>` était fiable, mal interprété comme faux négatif. Un snapshot AWS ≠ un ClusterRole K8s vivant. Cons
cliquer pour les détails →
INC-048
AmazonEKSEditPolicy snapshot statique : seul un binding RBAC explicite fonctionne (2026-05-30)
Sprint 3
🟢 Low
✅ Résolu
Mêmes 403 qu'INC-047 malgré la ClusterRole `aggregate-eso-to-edit` en place. `kubectl auth can-i cre
Pour les users mappés via EKS Access Entry + AWS Access Policy, seul un binding RBAC K8s **explicite** (Role/RoleBinding
cliquer pour les détails →
INC-049
Faux CRITICAL tfsec sur develop : répertoire de build sale + sémantique des ignores (2026-06-01)
Sprint 3
🔴 Critical
✅ Résolu
Triage tfsec HIGH (#64). Le job `tfsec-scan` reste `failed` sur develop (1 CRITICAL `aws-eks-no-publ
"MR verte mais merge rouge" = problème **environnemental**, pas le code ; ne pas s'acharner sur le code. Sur runner self
cliquer pour les détails →
INC-050
ECR IMMUTABLE casse le promote (latest + re-push SHA) : passage au promote par digest (2026-06-03)
Sprint 3
🟢 Low
✅ Résolu
Après l'apply de #64 (`image_tag_mutability = IMMUTABLE`), le pipeline app échoue sur `build-candida
Un durcissement (ECR immutable) révèle un couplage caché du pipeline. Sur un repo immutable : jamais de tag mutable (`la
cliquer pour les détails →
INC-051
ExternalDNS : flag booléen invalide + piège ownership CNAME (2026-06-03)
Sprint 3
🟢 Low
✅ Résolu
Pod ExternalDNS en CrashLoopBackOff dès le démarrage : `level=fatal msg="flag parsing error: unexpec
(1) Lire les valeurs par défaut avant d'ajouter des flags booléens. (2) "All records are already up to date" peut vouloi
cliquer pour les détails →
INC-052
`pip install --prefix` sautait les paquets déjà présents dans la base image (2026-06-09)
Sprint 3
🟢 Low
✅ Résolu
`pip check` dans l'image runtime (détecté via la skill `docker-image-lab`) : `packaging 24.x is requ
`pip install --prefix` est un anti-pattern dans les builds multi-stage : son comportement dépend de l'environnement Pyth
cliquer pour les détails →
INC-053
"Too many pods" — densité limitée par le VPC CNI (t3.medium)
Sprint 4
🟡 Medium
⏳ En attente
4 pods ArgoCD bloqués en `Pending`, `FailedScheduling: 0/1 nodes are available: 1 Too many pods`. Ce
Sur EKS, `max-pods` est une limite **réseau** (ENI/IP), pas de ressources. Deux pièges en cascade : (1) un managed node
cliquer pour les détails →
INC-054
flapping de pods — ArgoCD `selfHeal` vs HPA sur `spec.replicas`
Sprint 4
🟢 Low
✅ Résolu
Pods fastapi créés puis détruits en boucle. Le pod le plus ancien reste `Running`, les pods récents
En GitOps, un champ ne peut avoir qu'**une seule source de vérité**. Si un contrôleur dynamique (HPA, VPA, certains opér
cliquer pour les détails →
INC-055
loki-0 CrashLoopBackOff — `/var/loki` en read-only filesystem
Sprint 4
🟢 Low
✅ Résolu
`loki-0` en `CrashLoopBackOff` (1/2 Ready, redémarrages répétés). Log : `error running loki ... err=
`helm template` valide le **manifeste rendu**, pas le **comportement runtime**. Le rendu était parfait (StatefulSet corr
cliquer pour les détails →
INC-056
Grafana OOMKilled au démarrage — limite mémoire trop basse
Sprint 4
🔴 Critical
✅ Résolu
`kube-prometheus-stack-grafana` en `CrashLoopBackOff`. Conteneur `grafana` `OOMKilled` (**Exit Code
La **limite mémoire ≠ consommation**. Une limite trop serrée tue un process sur un pic **transitoire** (boot, migration)
cliquer pour les détails →
INC-057
`kube-linter-scan` rouge sur un download `latest` flaky (2026-06-15)
Sprint 4
🟠 High
✅ Résolu
le pipeline `develop` passe rouge sur `kube-linter-scan`, stages suivants (`build`, `promote`, `page
un outil téléchargé en `latest` au runtime est une dépendance externe non pinnée, exactement ce que combat l'ADR 005 §8.
cliquer pour les détails →
INC-058
webhooks d'admission injoignables sous overlay Cilium (2026-06-18)
Sprint 4
🟢 Low
✅ Résolu
à la première validation live de la migration Cilium (#80), l'amorce Ansible a échoué sur `Install c
un overlay non-natif sur control plane managé qu'on ne contrôle pas (EKS) **rompt le routage control-plane → pod**. Tout
cliquer pour les détails →
INC-059
install ArgoCD bloquée par une course de `helm --wait` (2026-06-18)
Sprint 4
🟢 Low
✅ Résolu
une fois le trou des webhooks (INC-058) franchi, l'amorce est allée jusqu'à `Install ArgoCD` et a éc
`helm --wait` traite un `NotFound` transitoire comme un échec définitif. Pour une ressource créée en parallèle sur un cl
cliquer pour les détails →
INC-060
saturation du nœud unique — le redéploiement Grafana fait tomber tout l'ingress
Sprint 5
🟠 High
✅ Résolu
Grafana met ~6 min à devenir `Ready`, puis **les 3 hôtes publics deviennent injoignables** (api / ar
Un nœud unique sur-engagé est une bombe à retardement : tant que rien ne pique, ça tient ; le premier pic transitoire (b
cliquer pour les détails →
INC-061
metrics-server injoignable sous Cilium — `kubectl top` et le HPA cassés en silence
Sprint 5
🔴 Critical
✅ Résolu
`kubectl top nodes` / `kubectl top pods` renvoient `error: Metrics API not available`. L'APIService
La règle d'INC-058 ne se limite pas aux webhooks : **tout composant que l'API server doit *appeler*** (webhook d'admissi
cliquer pour les détails →
SEC-006
dev et staging publiquement exposés en clair, branchés sur la base de production
Sprint 6
🔐 SEC
🔴 Critical
✅ Résolu
`curl http://dev.api.devopsyouss.com/healthz/ready` → **200**, en clair, depuis n'importe où sur int
**Un garde-fou documentaire n'est pas un contrôle.** La consigne « ne pas remonter le multi-env en live avant la fin du
cliquer pour les détails →
SEC-007
aucune redirection HTTP vers HTTPS, identifiants transmis en clair (production incluse)
Sprint 6
🔐 SEC
🟠 High
✅ Résolu
`curl http://api.devopsyouss.com/healthz/ready` → **200**. Les 4 services publics (`api`, `app`, `gr
Le chiffrement **disponible** n'est pas le chiffrement **imposé**. Un listener ouvert que personne n'a décidé d'utiliser
cliquer pour les détails →
INC-062
la rétention ECR a supprimé l'image servie par staging et prod
Sprint 6
🟠 High
✅ Résolu
Le job `registry-scan` échoue avec `MANIFEST_UNKNOWN: Requested image not found` sur `deployed-de3dc
Un mécanisme de protection reste valide tant que ses **hypothèses** le sont. Le découpage de #104 était correct en mono-
cliquer pour les détails →
INC-063
plus aucune métrique de l'API collectée depuis le cutover multi-env
Sprint 6
🔴 Critical
✅ Résolu
`/api/v1/targets` ne renvoie **aucune** cible dont le namespace commence par `fastapi`. En parallèle
**Un garde-fou peut fonctionner parfaitement et ne servir à rien.** `FastAPITargetMissing` a été écrite exactement pour
cliquer pour les détails →
INC-064
`trivy-image-scan` rouge sur deux CVE d'outillage jamais installé
Sprint 6
🟠 High
✅ Résolu
`trivy-image-scan` échoue sur l'image backend avec deux vulnérabilités de sévérité haute : `msgpack`
**Un scanner rapporte ce qu'il sait lire, pas ce qui est installé.** Trivy déduit un inventaire de fichiers manifestes,
cliquer pour les détails →
INC-065
l'image de prod expirée d'ECR une seconde fois, la rétention élargie n'a fait que retarder l'échéance
Sprint 6
🟠 High
✅ Résolu
Les deux pods de `fastapi-prod` restent en `Init:ImagePullBackOff`, l'initContainer `migrations` éch
**Un correctif qui déplace un seuil sans changer la propriété qui produit la panne ne fait qu'en régler la date.** #150
cliquer pour les détails →
INC-066
sous charge, la readiness expire et Envoy sert des 503, le throttling CPU retire la capacité au pire moment
Sprint 6
🟠 High
✅ Résolu
Des 503 servis aux clients pendant toute la fenêtre de charge, par le chemin réel (NLB → Envoy → pod
**Une décision d'architecture écrite ne se vérifie pas toute seule.** L'ADR 025 nommait le mécanisme, la conséquence et
cliquer pour les détails →
INC-067
le keep-alive d'uvicorn plus court que le pool d'Envoy, un 503 sur 5 700 servi aux clients
Sprint 6
🟡 Medium
✅ Résolu
Sous charge par le chemin réel (Envoy → pods), **35 requêtes sur 200 580 reçoivent un 503**, soit un
**Deux délais qui ne se parlent pas finissent par se croiser.** Dès qu'un réglage de durée existe des deux côtés d'une c
cliquer pour les détails →
INC-068
une CVE système bloque tous les builds, et la base pinnée par digest ne se corrige pas par un rebuild
Sprint 6
🔴 Critical
✅ Résolu
`trivy-image-scan` échoue sur l'image candidate avec `Total: 9 (HIGH: 9, CRITICAL: 0)`, toutes porté
**Épingler par digest fige aussi les failles.** Le pin apporte une vraie garantie, l'image scannée est l'image déployée,
cliquer pour les détails →
INC-069
la couverture de sécurité annoncée par la CI ne couvrait presque rien
Sprint 7
🟠 High
✅ Résolu
Aucun. C'est le cœur de l'incident. Tous les pipelines étaient verts, tous les jobs de sécurité affi
**Un dispositif de sécurité se vérifie par ce qu'il a analysé, pas par sa présence dans un fichier de configuration.** L
cliquer pour les détails →
INC-070
deux pièges sur la route du MFA obligatoire, dont un qui verrouille dehors
Sprint 7
🟡 Medium
✅ Résolu
Une politique de refus se relit par sa **porte de sortie**, pas seulement par ce
cliquer pour les détails →
INC-071
deux limites de plan en une soirée, et un vert qui ne répondait pas à la question
Sprint 7
🟢 Low
✅ Résolu
POST projects/:id/access_tokens
Avant de fermer un chemin d'écriture, chercher **qui l'emprunte déjà**. Un garde-fou
cliquer pour les détails →
INC-072
quatre alarmes, dont une qui a sonné pour rien, et six fois le tarif pendant cinq mois
Sprint 7
🟡 Medium
✅ Résolu
Aucun, dans les trois cas. Pas d'échec, pas de page rouge inattendue, pas de notification. Le projet
Une supervision n'a de valeur que si elle produit une action. Trois formes distinctes de la même panne apparaissent ici
cliquer pour les détails →
SEC-008
les secrets de production sont en clair dans le state Terraform, et la CI pouvait le lire et l'écrire
Sprint 7
🔐 SEC
🟠 High
✅ Résolu
**Un commentaire n'est pas un contrôle.** Celui-ci décrivait une propriété de sécurité
cliquer pour les détails →
INC-073
une parade contre un SPOF qui n'en retirait aucun, et qui en a ajouté un second
Sprint 7
🟡 Medium
✅ Résolu
Un pipeline vert à trois jobs sur quatre, et le quatrième en file depuis plus de quinze minutes sans
Une parade contre un point unique de défaillance doit se juger sur **le chemin complet**, pas sur le job qu'on déplace.
cliquer pour les détails →
INC-074
le montage EKS bloqué par une permission que le code exigeait depuis #189
Sprint 7
🟠 High
✅ Résolu
`infra-start` échoue à 67 secondes, après avoir créé VPC, quatre subnets, IGW, EIP et **NAT Gateway*
Une ressource ajoutée à une stack est aussi une **permission ajoutée à l'identité qui l'applique**, et les deux vivent d
cliquer pour les détails →
INC-075
le garde-fou de teardown, un `apply` de la CI l'aurait rendu muet sans le dire
Sprint 7
🟠 High
✅ Résolu
un `plan` censé ne toucher qu'une policy IAM annonçait :
Un `plan` se lit en entier, y compris les lignes qui ne parlent pas du changement qu'on vient d'écrire. Ici, deux des tr
cliquer pour les détails →
INC-076
la politique CI réduite laisse le cluster naître sans un seul nœud
Sprint 7
🟠 High
✅ Résolu
le plan de contrôle EKS se crée normalement en 7 min 33 s, les cinq rôles IRSA aussi, puis les **deu
Une politique réduite depuis une trace CloudTrail ne couvre que ce qui a **déjà été appelé** sous l'ancienne politique.
cliquer pour les détails →
Aucun incident trouvé.