Assurez-vous que chaque déploiement de production est traçable et auditable jusqu'à un commit source spécifique. Quelle pratique devriez-vous adopter ?

Associer le tag de l'image conteneur au hachage du commit du code source (par exemple, un SHA) établit un lien direct et immuable entre le code source exact et l'artefact déployé. Cela garantit une traçabilité et une auditabilité complètes, car chaque déploiement peut être retracé précisément jusqu'à la version spécifique du code source qui l'a généré. Exiger des développeurs qu'ils étiquettent les commits avec la date et l'heure ou qu'ils ajoutent un message de commit renvoyant au déploiement sont des pratiques utiles, mais elles reposent sur des informations saisies manuellement et sont sujettes aux erreurs ou aux incohérences, ne garantissant pas une traçabilité aussi forte. Utiliser le tag 'latest' est dangereux en production car il est mutable et ne permet pas de savoir quelle version spécifique du code est déployée à un instant T.