new CI CD

.gitea/scripts/compose-ci-rewrite.py

@@ -51,6 +51,10 @@ DANGEROUS_CAPS = {
 }
 HOST_NAMESPACE_KEYS = ("pid", "ipc", "uts", "userns_mode", "cgroup")
 
+# Connecteurs de tunnel : lancés en CI, ils se brancheraient sur le tunnel de production
+# et recevraient une partie du trafic réel.
+TUNNEL_IMAGE_RE = re.compile(r"(^|/)(cloudflared|ngrok)(:|@|$)")
+
 # Répertoires hôtes qui contiennent (ou sont parents de) sockets de démons.
 SOCKET_PARENTS = {"/", "/run", "/var", "/var/run"}
 
@@ -137,6 +141,8 @@ def file_resource_problem(resource, settings):
 
 def service_problems(svc, settings, unsafe_secrets, unsafe_configs):
     reasons = []
+    if TUNNEL_IMAGE_RE.search(str(svc.get("image") or "")):
+        reasons.append("connecteur de tunnel (brancherait la CI sur le trafic de production)")
     if svc.get("privileged"):
         reasons.append("privileged")
     for key in HOST_NAMESPACE_KEYS: