## Le contexte, avant le detail Le frontend est une **SPA** (Single Page Application) React + Vite, servie par nginx. Ses dependances sont declarees dans `frontend/package.json` et verrouillees dans `frontend/package-lock.json`. **Renovate** est le robot qui ouvre une MR quand une dependance a une nouvelle version. Il lit les images Docker, les providers Terraform, les `requirements` Python, la version d'EKS (#204), celle de Cilium (#212) et les outils du devcontainer (#213). **Il ne lit pas `package.json`.** `enabledManagers` de `renovate.json` : ```json ["pip-compile", "dockerfile", "gitlabci", "kustomize", "terraform", "custom.regex"] ``` Aucun manager `npm`. ## Le constat, mesure le 2026-09-07 `frontend/package.json` et `frontend/package-lock.json` n'ont **jamais** ete modifies depuis leur creation : ``` 2026-06-30 feat(frontend): minimal React+Vite SPA with hardened image (#109) ``` Soit **69 jours** sans une seule mise a jour, exactement comme les dependances Python avant #205 -- mais ici il n'y a aucun mecanisme du tout, pas meme un mecanisme casse. | Paquet | Verrouille | Amont | Ecart | |---|---|---|---| | `react` | 18.3.1 | **19.2.8** | un majeur | | `react-dom` | 18.3.1 | 19.x | un majeur | | `vite` | 6.0.7 | **8.2.2** | **deux majeurs** | | `@vitejs/plugin-react` | 4.3.4 | — | — | **116 paquets** sont verrouilles dans le lock, pour **4 dependances declarees**. ## ⚠️ Ce qui EST couvert, et qu'il ne faut pas surestimer Contrairement a ce qu'on pourrait croire, la detection existe et elle **bloque** : ```yaml trivy-fs-scan: script: - trivy fs --exit-code 1 --severity CRITICAL,HIGH ... . allow_failure: false ``` `trivy fs` scanne la racine du depot, donc il **lit `frontend/package-lock.json`**. Une CVE CRITICAL ou HIGH dans une dependance npm rendrait le pipeline **rouge**. ⚠️ **Le scan d'IMAGE, lui, ne voit rien de npm.** Le `frontend/Dockerfile` est multi-stage : `npm ci` puis `npm run build` dans une etape `node:22-slim`, et l'image finale ne recoit que `COPY --from=build /app/dist`. **`node_modules` n'existe pas dans l'image livree**, donc `trivy-frontend-image-scan` ne peut pas y trouver de CVE npm. C'est `trivy fs` qui couvre, et lui seul. ## Le probleme, precisement **La detection existe, la correction n'est pas outillee.** Le jour ou une CVE HIGH sort dans une transitive de Vite, le pipeline devient rouge et il faut corriger **a la main** : editer `package.json`, relancer `npm install`, commiter le lock regenere. Sur 116 paquets dont 112 transitives, trouver quel parent bumper n'est pas immediat. C'est exactement la situation que #205 a mis 69 jours a resoudre cote Python, avec cette difference : cote Python le mecanisme existait et etait casse, ici il n'existe pas. ## Pistes, a arbitrer 1. **Activer le manager `npm`** dans `enabledManagers`. Renovate lit `package.json`, ouvre les MR et regenere le lock. ⚠️ Deux majors arriveraient aussitot (React 19, Vite 8), chacun dans sa propre MR grace a la `packageRule` du preset, et chacun demande a etre instruit -- une SPA qui ne compile plus n'est pas un detail. 2. **Activer `npm` en bornant les majors** : `allowedVersions` ou une regle qui desactive `matchUpdateTypes: ["major"]` pour npm, le temps d'absorber les minor/patch. Les majors reviendraient comme une decision separee. 3. **Ne pas activer et l'ecrire comme une decision** : la mise a jour du frontend reste manuelle, declenchee par le rouge de `trivy fs`. A assumer explicitement, pas a laisser en silence. ## Le piege a ne pas repeter ⚠️ Le manager `npm` fait du **`lockFileMaintenance`**, comme `pip-compile`. Ce mode portait un creneau par defaut de Renovate, « before 4am on monday », qui ne s'ouvrait **jamais** parce que le runner tourne a 06:00 heure de Paris (#205, corrige par `!395`). Le reglage `lockFileMaintenance.schedule: ["at any time"]` est **global** dans `renovate.json`, donc npm en beneficierait deja. **A verifier explicitement** si cette issue est prise : c'est le genre de detail qui coute 69 jours. ## Done when - [ ] La piste retenue est tranchee et sa raison ecrite - [ ] Si `npm` est active : une MR Renovate met a jour une dependance frontend et regenere le lock, lien colle ici - [ ] Le sort des deux majors en attente (React 19, Vite 8) est tranche, pas subi - [ ] Le fait que `trivy image` ne couvre PAS les dependances npm est ecrit la ou on le cherchera - [ ] Preuve : `npm ci` puis `npm run build` passent avec le lock mis a jour ## Liens - #205 - le meme sujet cote Python, et le piege du creneau `lockFileMaintenance` - #212, #213 - le meme motif : une version qui gouverne un comportement et que personne ne surveille - #109 - la MR de creation du frontend, derniere modification du lock