Pourquoi les jetons de déploiement expirent désormais après une heure

Les jetons de déploiement duraient autrefois indéfiniment. On les créait une fois, on les collait dans un secret de CI, puis on les oubliait. C’est pour cela qu’ils étaient les identifiants les plus fréquents dans nos rapports d’incident : copiés dans des journaux, oubliés dans d’anciens forks ou partagés entre projets.

Les nouveaux jetons de déploiement expirent désormais une heure après leur émission. Les jetons existants à longue durée de vie fonctionnent jusqu’en janvier, et le tableau de bord indique les projets qui les utilisent encore.

Comment fonctionnent les jetons de courte durée

Au lieu de stocker un jeton, votre fournisseur de CI prouve son identité avec son propre jeton d’identité (OIDC). La plateforme vérifie que cette identité correspond à une règle de confiance que vous avez créée, puis émet un jeton de déploiement valable une heure et limité à un seul projet.

deploy:
  permissions:
    id-token: write
  steps:
    - run: npm ci
    - run: npx cloud deploy --env production
      env:
        CLOUD_OIDC: "true"

Aucun secret n’est stocké dans le dépôt ni dans les réglages de la CI. Un jeton divulgué cesse de fonctionner dans l’heure.

Créer une règle de confiance

Une règle de confiance indique quel dépôt, quelle branche et quel environnement peuvent déployer sur un projet. Créez-en une dans Projet → Réglages → Accès au déploiement, ou depuis la CLI :

cloud trust create \
  --project web-frontend \
  --repository your-org/web-frontend \
  --branch main \
  --env production

Les règles sont vérifiées à chaque échange : supprimer une règle coupe l’accès immédiatement.

Ce qui change pour vous

• Les pipelines qui utilisent l’intégration CI officielle basculent automatiquement à la prochaine exécution.
• Les pipelines qui appellent l’API avec un jeton stocké fonctionnent jusqu’en janvier. Ensuite, le jeton stocké est refusé.
• Les jetons d’accès personnels de la CLI ne changent pas. Ils expirent toujours après 90 jours.

Si votre fournisseur de CI ne prend pas encore en charge OIDC, créez un jeton avec une expiration explicite de sept jours au maximum, et renouvelez-le depuis une tâche cron.