Lorsque des Mac mini M4 servent de nœuds de build planifiables, ce sont les jetons d’enregistrement divulgués ou les PAT trop larges — et non les mots de passe SSH — qui permettent à un attaquant de rejoindre discrètement votre pool pendant que les tableaux de bord restent au vert. Cette checklist 2026 couvre la cadence de rotation, les frontières de stockage des secrets, une matrice de tri des fuites, huit étapes de réponse, des exercices de crise trimestriels, des notes sur la migration OIDC et les champs minimaux du CMDB. Deux tableaux aux formes différentes et des seuils numériques explicites permettent de coller des extraits directement dans votre runbook d’astreinte.
Si les runners ne sont pas encore en ligne, commencez par GitHub Actions auto-hébergé sur Mac mini M4. Alignez la maintenance avec drain des runners et passations. Lorsque la CI partage le matériel avec des agents, lisez prêt de capacité CI et agents. Pour les consoles distantes, utilisez l’aide et VNC.
Pourquoi les jetons l’emportent sur les mots de passe comme vecteur d’attaque
- Abus d’enregistrement à usage unique : un jeton collé dans Slack ou un ticket peut permettre à quiconque d’enregistrer un runner malveillant en environ 60 minutes pendant que les files d’attente semblent saines.
- PAT trop larges : un PAT de build avec écriture dépôt plus modification de workflow équivaut à un accès indirect à de nombreux contextes de secrets après une seule fuite.
- Secrets sur disque : les jetons dans des fichiers
.envou plists synchronisés avec les sauvegardes créent une fausse confiance lorsque vous faites tourner l’amont mais oubliez les images dorées.
Cadence de rotation et modèles de stockage
| Identifiant | Durée de vie max. recommandée | Stockage |
|---|---|---|
| Jeton d’enregistrement org / dépôt | Usage unique, consommer sous 1 heure | Injection éphémère par gestionnaire de secrets, jamais dans les images |
| PAT à granularité fine (enregistrement runner uniquement) | Revue tous les 90 jours, alerte à 30 | Trousseau macOS, périmètres minimaux |
| PAT large pour le débogage | 7 jours ou interdiction sur les builders | Ordinateurs portables uniquement, jamais le profil utilisateur du runner |
Matrice de tri des fuites
Utilisez la matrice pour trancher le débat récurrent « supprimer les runners d’abord ou révoquer les jetons d’abord » : exécutez la colonne deux, puis la colonne trois, puis vérifiez la colonne quatre avant d’ouvrir la checklist en huit étapes.
| Exposition | Première action | Deuxième action | Preuve |
|---|---|---|---|
| Jeton d’enregistrement dans un canal public | Invalider et régénérer le flux d’organisation | Auditer les runners enregistrés sur les dernières 24 h | Hôtes inconnus retirés |
| PAT pouvant modifier dépôts et workflows | Révoquer immédiatement | Analyser les commits de workflow anormaux | Protections de la branche par défaut intactes |
| Vol de session runner suspecté | Mettre l’hôte hors ligne, faire tourner les secrets machine | Inspecter les appels sortants inattendus | Nouvelles sessions uniquement avec jetons neufs |
Minimum CMDB : chaque Mac de build doit enregistrer runner_id, une empreinte de hachage du PAT actif, la dernière rotation en UTC et le groupe d’ingénierie propriétaire. L’absence de ces quatre champs fait passer le temps médian d’incident de 25 minutes à des heures.
Identités de job OIDC face aux PAT
En 2026, de nombreuses flottes macOS échangent des jetons OIDC contre des identifiants cloud à courte durée de vie, si bien que les PAT longue durée ne touchent plus le disque. Séparez les jobs « clone et test » qui n’ont besoin que de GITHUB_TOKEN des jobs « déploiement » qui utilisent OIDC ou des clés de déploiement. Ainsi une image disque volée ne livre qu’un contexte éphémère. Prévoyez de modifier 3 à 5 extraits de workflow pendant la migration, mais la rotation des PAT passe de trimestrielle à « urgence seulement » sur la plupart des chemins.
Envoyez les journaux d’audit vers un SIEM et alertez sur repo.* et les événements d’enregistrement de runners. Sans SIEM, une tâche cron qui récupère la dernière heure de changements API détecte encore environ 80 % des enregistrements frauduleux.
Exercice trimestriel de fuite simulée
Publiez un fragment de jeton synthétique dans un canal d’exercice et mesurez si quelqu’un applique la matrice en moins de 15 minutes. Les premières tentatives échouent souvent parce que personne ne sait qui peut révoquer les identifiants au niveau organisation — corrigez cela avant la douleur en production. Suivez la latence de décision et les erreurs de clic ; exigez deux améliorations consécutives d’au moins 10 % avant de réduire la fréquence des drills. Associez les exercices à pools de runners préproduction et production pour que la production n’observe que le débordement éventuel des alertes.
Checklist de réponse à une fuite en huit étapes
Gardez une page imprimée à côté du rack ou dans le runbook région cloud : qui possède la révocation, l’URL exacte de l’inventaire des runners et l’arbre d’escalade téléphonique. Pendant les incidents, la charge cognitive explose — chercher dans Notion « comment on a révoqué la dernière fois » brûle la fenêtre de 15 minutes qui sépare un retrait propre d’un accès attaquant persistant.
- Ouvrir un ticket sécurité : noter le canal (Slack / ticket / journal) et la durée approximative d’exposition.
- Exécuter d’abord les première et deuxième actions de la matrice : éviter les débats de priorité en parallèle.
- Geler les nouveaux enregistrements de runners : resserrer la politique d’organisation jusqu’à ce que des chaînes de jetons neuves existent.
- Drainer les hôtes suspects : respecter votre SLO de drain — souvent 60 à 90 minutes d’attente naturelle.
- Réenregistrer des runners propres : jetons neufs, suffixe d’hôte
-rot-AAAAMMJJpour la piste d’audit. - Valider le moindre privilège : exécuter un clone en lecture seule plus un build no-op pour prouver l’absence de périmètres d’écriture parasites.
- Post-mortem : documenter pourquoi les outils de chat contenaient des identifiants et quelle lacune d’automatisation subsiste.
- Deuxième passage sous 72 h : traquer l’usage résiduel des PAT par application OAuth.
- Boucler : mettre à jour les empreintes CMDB et informer les parties prenantes que les builds verts ont repris sous de nouveaux identifiants uniquement après vérification explicite et revue des journaux.
Comptes de service du runner et ordre de déverrouillage FileVault
Les Mac builders dédiés doivent tourner sous un compte de service non administrateur dont la politique de rotation des mots de passe suit celle des PAT. Les sessions administrateur interactives appartiennent à des portables séparés, pas au profil du runner — les administrateurs ont tendance à laisser des sessions navigateur et des exports de PAT trop larges. Après les mises à jour macOS, vérifiez que le LaunchAgent se charge avant que FileVault n’ait entièrement déverrouillé les répertoires personnels des utilisateurs ; sinon vous obtenez des symptômes instables « jeton valide mais runner hors ligne » qui font perdre des heures à chercher du côté de GitHub au lieu de l’ordre launchd.
Documentez quelle équipe peut coller des jetons d’enregistrement dans le chat (idéalement personne). Si le marketing insiste sur des captures d’écran, utilisez des zones masquées et faites tourner les jetons immédiatement après le tournage. Mesurez la fréquence d’apparition des jetons dans les archives consultables ; faire baisser cette métrique est un meilleur indicateur que de compter des règles de complexité de mot de passe que personne ne lit.
Limites du fournisseur de Mac cloud
Les fournisseurs isolent le bare metal et les bords réseau ; ils ne peuvent pas révoquer vos PAT GitHub. Inscrivez la rotation des jetons comme responsabilité applicative dans les documents d’achat. Lorsque vous faites gonfler la capacité via les tarifs régionaux, conservez le même PAT au moindre privilège au lieu d’élargir temporairement les périmètres « pour aller plus vite ».
Les hôtes Mac mini M4 Apple Silicon rendent pratiques les identités runner par machine et l’isolation disque, tandis que la mémoire unifiée limite l’échange suspect pendant l’analyse concurrente de secrets et la compilation. NodeMac propose SSH et VNC à Hong Kong, au Japon, en Corée du Sud, à Singapour et aux États-Unis pour monter rapidement des nœuds propres après révocation. La location à l’usage aligne le délai d’approvisionnement matériel sur la vélocité de rotation des identifiants — les deux déterminent le MTTR lorsque vous traitez les nœuds comme du bétail.