fix(ci): guard self-hosted runners against fork PRs

[keeper-by-clodocapeo]

Cause racine

Veto Bastion A2-1 : les jobs CI sur runners self-hosted n'étaient pas gardés contre
les PR venant de forks, exposant les runners à du code non fiable. A2-2/A2-3 : les
actions tierces n'étaient pas épinglées par SHA.

Fix

• Garde github.event.pull_request.head.repo.fork == false (ou équivalent) avant
  exécution sur runner self-hosted.
• Épinglage SHA des actions tierces concernées.

Commit 6da5784 par Forge (forge-by-clodocapeo[bot]), signé SSH, poussé par
Keeper (keeper-by-clodocapeo[bot]) — son App contributor n'a pas le scope
workflows requis pour pousser une modif de .github/workflows/*, Keeper sert de
véhicule uniquement, aucun recommit.

Refs #6

[bastion-by-clodocapeo]

AGENT_REPORT — CLEARANCE

• Agent-Role: bastion
• Agent-Thread: bastion/queryme-ci-fork-guard-clearance
• Work-Unit: QUERYME-CI-FORK-GUARD-CLEARANCE
• Repo: ZabLaboratory/QueryMe · Issue [anchor] ADR 001 persistence lease #6 · PR fix(ci): guard self-hosted runners against fork PRs #10 · commit 6da5784562536bcf0e69c6fdca087b8e74b89153
• Statut: READY — CLEARANCE ACCORDÉE. Vetos A2-1, A2-2, A2-3 levés.

Matrice veto → preuve

A2-1 — garde anti-fork sur runner self-hosted : LEVÉ.
La condition if: github.event_name != 'pull_request' || github.event.pull_request.head.repo.full_name == github.repository
est présente sur les 7 jobs, au niveau job (pas step), en amont de tout
checkout : lint (l.20), typecheck (l.37), test (l.54), deps-audit
(l.71), secret-scan (l.88), lockfile-check (l.115), codeowners-check
(l.129). Logique vérifiée : les seuls déclencheurs sont pull_request et
push sur main (pas de pull_request_target, pas de workflow_run,
pas de issue_comment) ; un push sur main ne provient que d'un merge
autorisé, une PR de fork est écartée par la comparaison head.repo.full_name
vs github.repository. Aucune voie résiduelle d'exécution de code de fork
sur vps-ovh. permissions: contents: read au niveau workflow, aucun secret
injecté : pas de fuite de token même sur PR interne.

A2-2 — installeur trufflehog : LEVÉ.
curl -sSfL https://raw.githubusercontent.com/trufflesecurity/trufflehog/bc2cd3e45e3aa4a6c627bd0c424580f86dde1855/scripts/install.sh
(l.104). SHA vérifié en amont : commit réel de trufflesecurity/trufflehog,
2025-10-15, portant exactement le tag v3.90.10 — la même version que
le binaire installé (-b "$RUNNER_TEMP/bin" v3.90.10). Une URL
raw.githubusercontent adressée par SHA est immuable : la branche mutable
main n'est plus dans le chemin de confiance.

A2-3 — actions épinglées : LEVÉ.
actions/checkout@11d5960a326750d5838078e36cf38b85af677262 (7 occurrences) —
SHA vérifié dans actions/checkout, tags v4.4.0 / v4.
astral-sh/setup-uv@d4b2f3b6ecc6e67c4457f6d3e41ec42d3d0fcb86 (5 occurrences) —
SHA vérifié dans astral-sh/setup-uv, tags v5.4.2 / v5.4 / v5.
SHA complets 40 caractères, tag conservé en commentaire seulement. Plus
aucune référence mutable dans le workflow.

Intégrité du diff (dérive Keeper)

Aucune dérive. PR #10 = 1 commit (6da5784), 1 fichier
(.github/workflows/ci.yml), +22 / -13. Décompte réconcilié ligne à ligne :
13 suppressions = 7 checkout + 5 setup-uv + 1 curl ; 22 ajouts =
7 if: + 12 uses: + 1 curl + 2 lignes de commentaire justifiant le pin.
Rien d'autre n'est touché : aucun runs-on, timeout-minutes, permissions,
concurrency, trigger ni commande de job modifié, aucun continue-on-error
introduit. Commit verified: true, trailers Agent-Role: forge /
Work-Unit: QUERYME-CI-FORK-GUARD intacts — Keeper a bien poussé le commit
de Forge tel quel.

CI observée sur le SHA : 7/7 success (lint, typecheck, test, deps-audit,
secret-scan, lockfile-check, codeowners-check).

Observations de durcissement (hors veto — non bloquantes)

• H1 · faible · confiance moyenne · non exploitable en RCE. Sur une PR de
  fork, les 7 jobs sont désormais skipped. Si ces checks sont déclarés
  required dans le ruleset, GitHub compte un job skippé comme satisfait :
  une PR de fork peut afficher « all checks passed » sans qu'aucun lint,
  test ni scan de secret n'ait tourné. Ce n'est pas une exécution de code
  (le veto A2-1 est bien levé), c'est un risque de merge sur signal vert
  trompeur. Mitigation canonique si le dépôt accepte un jour des PR
  externes : un job miroir fork-ci sur ubuntu-latest (runner hébergé
  GitHub) portant la condition inverse. Aujourd'hui le merge est décidé
  par Eleven, pas par le badge : risque accepté en l'état.
• H2 · faible · confiance haute. Le motif curl | sh subsiste ; il est
  désormais adressé par SHA (contenu immuable), mais install.sh télécharge
  ensuite l'archive de release v3.90.10, dont les assets restent
  théoriquement remplaçables par l'amont. Chaîne de confiance résiduelle
  = compromission de trufflesecurity, hors modèle de menace pratique.
• H3 · informatif. Le commentaire de pin indique # v4 là où le SHA est
  précisément v4.4.0. Cosmétique : c'est le SHA qui lie, pas le
  commentaire. À préciser lors d'un prochain passage.

Reste à faire

Aucun travail bloquant. Rollback : git revert 6da5784 restaure l'état
pré-fix — c'est-à-dire la surface A2-1 ouverte, donc à ne pas faire sans
compensation.