CI/CD — Pipelines Woodpecker Kohinos

Le moteur d'intégration continue de Kohinos est Woodpecker CI self-host (cf. ADR 0028-ci-engine-woodpecker.md) — souveraineté, priorité 2 du projet. Le serveur Woodpecker et ses agents tournent sur l'infrastructure de la Fédération (VPS 4 Go ou Raspberry Pi 5), sans aucun service cloud propriétaire dans le path critique. Les pipelines vivent dans .woodpecker/*.yml et sont déclenchés par événement (pull request, push main, tag, cron, manuel). Aucun déploiement production sans pipeline verte et action manuelle explicite.

Vue d'ensemble — 6 pipelines par événement

Woodpecker ne raisonne pas en « stages » globaux mais en fichiers de pipeline déclenchés par événement. Six pipelines couvrent le cycle de vie :

Pipelines détaillés

Cache & volumes

Pour limiter la pression sur l'agent (objectif : PR < 10 min, même sur Pi 5 8 Go), Woodpecker monte des volumes nommés persistants partagés entre tous les runs et tous les pipelines (PR + main + nightly). Pas de purge automatique.

# Extrait .woodpecker/pr.yml — cache Composer via volume nommé
  - name: composer-install
    image: composer:2.8
    commands:
      - composer install --prefer-dist --no-progress --no-scripts --no-interaction
    volumes:
      - /cache/composer:/tmp/composer-cache
    environment:
      COMPOSER_CACHE_DIR: /tmp/composer-cache
      COMPOSER_ALLOW_SUPERUSER: '1'

# Purge manuelle au cas par cas (pas d'expiration auto) :
#   docker volume rm kohinos-ci-composer-cache

Secrets Woodpecker

Aucun secret n'est versionné. Les credentials sensibles vivent dans les secrets Woodpecker (chiffrés au repos, masqués dans les logs, scoppés au dépôt) et sont injectés par from_secret. Les secrets de prod côté serveur restent dans le Symfony secrets vault (config/secrets/prod/, déchiffré au boot).

Agents Woodpecker

Un woodpecker-server + un ou plusieurs woodpecker-agent suffisent. Chaque step tourne dans un conteneur OCI isolé (image épinglée). La sélection d'agent se fait par label : aujourd'hui tous les pipelines épinglent linux/amd64.

# docker-compose (extrait) — agent ARM64 sur Raspberry Pi 5
services:
  woodpecker-agent-arm64:
    image: woodpeckerci/woodpecker-agent:v3
    environment:
      WOODPECKER_SERVER: woodpecker.kohinos.example:9000
      WOODPECKER_AGENT_SECRET: ${WOODPECKER_AGENT_SECRET}
      WOODPECKER_BACKEND: docker
      WOODPECKER_FILTER_LABELS: "platform=linux/arm64"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock

Boucle commit recommandée

Reproduit localement, dans l'ordre, ce que la CI vérifiera ensuite. Évite les aller-retours pipeline rouge → fix → re-push.

1. Mettre à jour CHANGELOG.md (technique) et CHANGELOG_USER.md (fonctionnel).
2. Lancer les tests ciblés — jamais vendor/bin/phpunit seul.
3. Formater le code avec php-cs-fixer.
4. Lancer la pipeline locale via GrumPHP (mêmes hooks que la CI).
5. Committer (le hook pre-commit GrumPHP rejouera tout).

# 1. CHANGELOG (manuel, dans l'éditeur)
$EDITOR CHANGELOG.md CHANGELOG_USER.md

# 2. Tests ciblés (cf. CLAUDE.md)
vendor/bin/phpunit --testsuite=ssa
vendor/bin/phpunit tests/Service/Sepa/SepaProcessorTest.php

# 3. Format
vendor/bin/php-cs-fixer fix

# 4. Pipeline locale
vendor/bin/grumphp run

# 5. Commit + push
git add -A
git commit -m "feat(ssa): nouvelle stratégie de redistribution proportionnelle"
git push origin feature/ssa-proportional

Règles dures

GrumPHP local — pre-commit hook

GrumPHP rejoue dans le hook pre-commit les mêmes contrôles que la CI, de sorte qu'un push ne franchisse jamais la frontière du laptop sans avoir passé les filtres. Les tâches actives sont configurées dans grumphp.yml à la racine. Alignement détaillé pre-commit / CI → docs/ci/pre-commit-vs-ci.md.

# grumphp.yml (extrait)
grumphp:
  tasks:
    git_blacklist:
      keywords:
        - "die("
        - "var_dump("
        - "dump("
        - "exit;"
      whitelist_patterns:
        - /^scripts\//
        - /^docs\//
    yamllint: ~
    composer: ~
    jsonlint: ~
    phpcsfixer:
      config: .php-cs-fixer.dist.php
    phpunit:
      config_file: phpunit.xml
      testsuite: unit

Activation locale :

composer install        # GrumPHP s'installe automatiquement
vendor/bin/grumphp git:init   # registre le hook .git/hooks/pre-commit
vendor/bin/grumphp run        # exécution manuelle

Historique GitLab CI → Woodpecker

Le code est hébergé sur deux forges miroirs — GitLab (gitlab.com/federation-kohinos/kohinos, remote origin) et GitHub (github.com/jujote/kohinos). Une configuration .gitlab-ci.yml de qualité/tests a existé, sans déploiement. Le choix d'un moteur CI auto-hébergé a tranché en faveur de Woodpecker (ADR 0028, 2026-05-23). Comparaison des options :

État actuel :

Renovate self-host

Renovate (bot open-source de mise à jour des dépendances) tourne en self-host sur le serveur Fédération Kohinos, via cron. Remplace Dependabot (GitHub-only) et reste forge-agnostique (GitLab aujourd'hui, portable demain).

# renovate.json (à la racine du dépôt)
{
  "$schema": "https://docs.renovatebot.com/renovate-schema.json",
  "extends": ["config:recommended"],
  "schedule": ["before 6am on monday"],
  "packageRules": [
    {
      "matchUpdateTypes": ["patch"],
      "groupName": "patches",
      "automerge": false
    },
    {
      "matchPackagePatterns": ["doctrine/dbal"],
      "allowedVersions": "<4.0.0",
      "description": "Pin DBAL 3.x — DBAL 4.x incompatible avec ORM 2.14"
    },
    {
      "matchPackagePatterns": ["sonata-project/admin-bundle"],
      "allowedVersions": "<5.0.0",
      "description": "Pin Sonata 4.x — Sonata 5.x non testé"
    }
  ],
  "vulnerabilityAlerts": { "enabled": true, "labels": ["security"] }
}

Voir aussi

• ADR 0028 — choix du moteur CI Woodpecker
• docs/ci/woodpecker-architecture.md — server + agents amd64/arm64
• docs/ci/woodpecker-workflows.md — les pipelines, fichier par fichier
• docs/ci/secrets-management.md — inventaire et rotation des secrets
• ← Installation — prérequis système et setup local
• Déploiement — procédure post-CI vers le serveur
• Performance — tuning runtime, OPcache, mesures
• Monitoring — logs, métriques, alertes