CI/CD : dependabot, CodeQL, audits bloquants et provenance de build

[Wasabules]

Alignement de la chaîne CI/CD sur celle de SnmpLens, nettement mieux outillée
côté analyse, puis ajout de ce qui manquait aux deux projets.

Comparatif avant / après

	SyslogStudio (avant)	SnmpLens	SyslogStudio (après)
Dependabot (version updates)	❌	✅	✅ + groupe Svelte
CodeQL	❌	✅	✅
dependency-review sur PR	❌	✅	✅
govulncheck en CI	❌	✅	✅ + tags + fil-piège
npm audit bloquant	❌	✅	✅
staticcheck	❌	✅	✅ (épinglé)
go mod tidy vérifié	❌	✅	✅
wails build en CI	❌	✅	✅ 3 OS
Tests Go multi-OS	✅ 3 OS	❌ Linux seul	✅ 3 OS
Signature de release obligatoire	✅	❌ no-op silencieux	✅
Manifeste lié à la version (anti-rejeu)	✅	❌	✅
Permissions minimales par job	✅	❌ write global	✅
Provenance de build attestée	❌	❌	✅
persist-credentials: false	❌	❌	✅
Groupes de concurrence	❌	❌	✅

Les trois lignes où SyslogStudio était déjà devant tiennent à l'audit précédent
et sont conservées telles quelles — elles mériteraient d'être reportées sur
SnmpLens, en particulier la signature obligatoire : là-bas updatersign est un
no-op quand le secret est absent, donc une release peut sortir non signée sans
que rien n'échoue, et le manifeste ne porte pas de ligne version, ce qui laisse
la porte ouverte au rejeu d'un ancien manifeste validement signé.

La différence qui compte le plus

La CI ne compilait jamais l'application complète — seulement go vet,
go test, svelte-check et le build frontend séparément. Elle pouvait donc être
verte avec un wails build cassé, et la casse n'apparaissait qu'au push du tag,
c'est-à-dire quand c'est déjà une release ratée. Le job build fait désormais un
wails build réel sur les trois plateformes publiées, ce qui couvre aussi la
génération des bindings.

Provenance de build

actions/attest-build-provenance répond à une question que la signature Ed25519
du manifeste ne couvre pas : cette signature prouve que les sommes ont été signées
par le détenteur de la clé, pas que les binaires proviennent de ce dépôt via ce
workflow. N'importe qui peut désormais vérifier un téléchargement sans faire
confiance à notre outillage :

gh attestation verify SyslogStudio-windows-amd64.exe --repo Wasabules/SyslogStudio

Deux pièges rencontrés en route

main.go porte //go:embed all:frontend/dist et ce répertoire est gitignoré,
donc tout ce qui compile le paquet main échoue sur pattern all:frontend/dist: no matching files found. staticcheck s'arrête net — visible. govulncheck est
plus insidieux : il continue et ne rapporte que sur les sous-paquets, si bien
que main paraissait sain parce qu'il n'avait jamais été analysé. D'où le
placeholder dans les deux jobs.

Même logique pour les tags de build sur Linux : sans libgtk/libwebkit et sans
-tags webkit2_41, les paquets Wails ne compilent pas et disparaissent du scan
en silence. L'étape « Confirm the tree builds before scanning it » transforme ce
faux négatif en échec visible. Ce piège est également présent dans le job
security de SnmpLens.

Vérifié localement avant push

Les quatre nouveaux contrôles passent sur l'arbre actuel : go mod tidy ne
modifie rien, npm audit --omit=dev --audit-level=high est vert (les avis
Vite/esbuild sont en dev et n'affectent que wails dev), govulncheck retourne
zéro, et staticcheck est propre après correction de sa seule remontée — une
affectation morte dans framing_test.go (SA4006), écrasée à la ligne suivante.

[github-advanced-security]

You are seeing this message because GitHub Code Scanning has recently been set up for this repository, or this pull request contains the workflow file for the Code Scanning tool.

What Enabling Code Scanning Means:

• The 'Security' tab will display more code scanning analysis results (e.g., for the default branch).
• Depending on your configuration and choice of analysis tool, future pull requests will be annotated with code scanning analysis results.
• You will be able to see the analysis results for the pull request's branch on this overview once the scans have completed and the checks have passed.

For more information about GitHub Code Scanning, check out the documentation.