doc-locale/fr-fr/user/application_security/configuration/security_configuration_profiles.md
{{< details >}}
{{< /details >}}
{{< history >}}
{{< /history >}}
Les profils de configuration de sécurité sont des paramètres centralisés qui définissent comment et quand les scanners de sécurité s'exécutent dans vos projets. Utilisez les profils de configuration de sécurité pour gérer efficacement les scanners de sécurité au sein de votre organisation. Une approche basée sur les profils applique les bonnes pratiques avec une configuration manuelle minimale.
<i class="fa-youtube-play" aria-hidden="true"></i> Pour une vue d'ensemble, consultez Introducing security configuration profiles.
Lorsque vous appliquez un profil à un groupe, il est appliqué à chaque projet individuel au sein de ce groupe. Les profils ne sont pas attachés au groupe lui-même, et il n'y a pas d'héritage entre les profils ou les sous-groupes.
Utilisez les profils par défaut pour activer l'analyse de sécurité préconfigurée en quelques minutes et avec une configuration minimale.
Pour évaluer et gérer vos profils, utilisez l'inventaire de sécurité de votre groupe comme tableau de bord central.
Pour afficher un statut de haut niveau (Activé, Not Enabled ou Échec) des scanners dans le groupe tels que SAST, DAST et la détection des secrets :
Pour configurer un projet spécifique :
Pour gagner du temps, vous pouvez appliquer des paramètres de sécurité à plusieurs projets en même temps :
GitLab fournit des profils par défaut qui sont des paramètres de scanner préconfigurés afin que vous puissiez activer l'analyse de sécurité avec une configuration minimale.
Lorsque vous appliquez le profil de détection des secrets, vous activez la protection de référence recommandée pour les secrets dans l'ensemble de votre workflow de développement. Le profil active les déclencheurs d'analyse suivants :
Lorsque vous appliquez le profil SAST, vous activez le test statique de sécurité des applications dans vos projets en utilisant la configuration recommandée. Le profil active les déclencheurs d'analyse suivants :
Pour afficher les détails techniques concernant le profil de détection des secrets :
Le système utilise des repères visuels dans l'inventaire pour indiquer si vos projets sont protégés :
Contrairement aux analyses basées sur les pipelines, la protection push n'a pas de date de dernière analyse car elle s'exécute en temps réel pendant le processus de push.
Lorsque vous travaillez avec des profils de configuration de sécurité, vous pouvez rencontrer les problèmes suivants.
La protection push est basée sur les événements, et non sur une planification. Elle intercepte les secrets en temps réel pendant le processus git push. Étant donné qu'elle est active au moment de la commande push, il n'y a pas de date de dernière analyse comme vous pourriez en attendre avec des scanners basés sur les pipelines.
Cela peut se produire lorsqu'un projet utilise des paramètres hérités tout en se voyant attribuer un nouveau profil.
Pour résoudre ce problème :
.gitlab-ci.yml pour vous reposer uniquement sur la configuration basée sur les profils.[!note] L'infobulle de l'inventaire est en cours d'amélioration afin de refléter le statut combiné des paramètres hérités et basés sur les profils.
Si vous migrez d'une configuration de scanner héritée vers une configuration basée sur les profils, notez les différences suivantes :
La configuration basée sur les profils est recommandée pour une gestion plus facile et une meilleure cohérence entre les projets.