Fixation des versions : Toutes les dépendances sont fixées à des versions exactes (pas de versions flottantes), ce qui empêche les attaques de type « dependency confusion » et les mises à jour inattendues.

Registres officiels : Les dépendances sont exclusivement récupérées à partir de sources officielles (Maven Central, PyPI, npm).

Vérification automatique des vulnérabilités : OWASP Dependency Check (Java), Snyk (Python), npm audit, pip-audit — à chaque build. Le build échoue si CVSS ≥ 7.

Conformité des licences : Les licences copyleft (AGPL, GPLv3, SSPL) sont automatiquement bloquées dans tous les langages.

Analyse des secrets : Chaque commit est analysé dans la pipeline CI pour détecter les secrets accidentellement introduits.

Registre privé de conteneurs : Les images Docker sont construites dans la pipeline CI/CD contrôlée et poussées dans un registre privé. Aucun accès public.

Versions à jour : Java, Spring Boot, Python et Vue sont utilisés dans des versions récentes et supportées.