Comment mettre en place du CI/CD avec GitHub Actions

GitHub Actions a mauvaise réputation parce que les gens copient un énorme fichier YAML trouvé sur un blog, ça marche à moitié, et ils n’y retouchent plus jusqu’à ce que ça casse. Je veux vous montrer la version petite et compréhensible que j’utilise vraiment sur de vrais projets.

Où vivent les workflows

Chaque workflow est un fichier YAML dans .github/workflows. Le nom du répertoire n’est pas optionnel. Chaque fichier décrit un ou plusieurs jobs, et chaque job tourne sur une machine virtuelle neuve. Le modèle mental qui m’a le plus aidé : un job est un ordinateur portable propre qui démarre, fait exactement ce que vous lui dites, puis s’évapore. Rien ne persiste entre les jobs sauf si vous le sauvegardez explicitement.

Un pipeline minimal mais réel

Voici un workflow qui tourne à chaque push et chaque pull request. Il installe les dépendances, lance la suite de tests et construit le site. Remarquez comme le déclencheur, le runner et les étapes se traduisent en français simple :

name: CI
on:
  push:
    branches: [main]
  pull_request:

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: 20
          cache: npm
      - run: npm ci
      - run: npm test
      - run: npm run build

Deux choses ici valent leur place. La ligne cache: npm restaure le cache des dépendances, ce qui fait passer l’installation d’une minute à quelques secondes. Et npm ci au lieu de npm install respecte exactement votre lockfile, ce qui garantit que la CI installe les mêmes versions à chaque fois. La reproductibilité est tout l’enjeu.

Faites tourner les jobs en parallèle quand c’est possible

Si vos étapes de lint, de test et de vérification de types ne dépendent pas les unes des autres, ne les enchaînez pas. Séparez-les en jobs distincts et elles tourneront en même temps sur des machines différentes. Votre boucle de retour raccourcit, et le coût est le même puisque vous payez les minutes de calcul de toute façon. Je n’impose une séquence avec needs que lorsqu’un job ultérieur a vraiment besoin qu’un précédent se termine, comme le déploiement qui attend les tests.

Ajouter le déploiement sans danger

C’est là que je vois le plus d’erreurs. Le déploiement ne doit tourner que sur la branche main, jamais sur les pull requests, et il doit dépendre de la réussite des tests. La forme ressemble à ceci :

  deploy:
    needs: build
    if: github.ref == 'refs/heads/main'
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: npm ci
      - run: npm run build
      - name: Publish
        run: npx wrangler pages deploy dist --project-name my-site

Wrangler a besoin d’un jeton d’API Cloudflare pour publier. Stockez-le comme secret de dépôt chiffré dans Settings, Secrets and variables, et exposez-le à l’étape via le bloc d’environnement du job. Ne collez jamais un jeton dans le YAML lui-même, car le fichier reste dans votre historique pour toujours. Si vous déployez spécifiquement sur Cloudflare, la partie configuration manuelle est traitée dans le déploiement d’un site statique sur Cloudflare Pages.

Les secrets, comme il faut

Les secrets de dépôt sont chiffrés et seulement déchiffrés à l’exécution dans le job. Ils sont masqués dans les journaux, donc si un jeton s’affiche par accident, GitHub le caviarde. Référencez-les via le contexte des secrets dans le mappage d’environnement de votre workflow plutôt que de les afficher. La règle d’or : si cela permet à quelqu’un de déployer ou de dépenser de l’argent, c’est un secret, et il vit dans le coffre de GitHub, pas dans votre code.

Du cache au-delà des dépendances

Vous pouvez mettre en cache plus que node_modules. Les artefacts de build, les binaires compilés, les ressources téléchargées, tout ce qui est coûteux à recréer est candidat. L’étape actions/cache prend une clé, généralement un hachage d’un lockfile ou d’un répertoire source, et restaure le cache correspondant s’il existe. Trouvez la bonne clé et vos étapes lentes deviennent instantanées. Trompez-vous et vous publiez des artefacts périmés, alors incluez toujours le hachage du fichier pertinent dans la clé.

Restez ennuyeux

Mon conseil le plus fort est de résister à l’envie d’être malin. Un workflow que n’importe qui dans l’équipe peut lire en trente secondes vaut mieux qu’un workflow brillant que vous seul comprenez. Ajoutez des étapes quand vous avez une raison concrète, supprimez-les dès qu’elles ne servent plus, et figez les versions de vos actions pour qu’une mise à jour surprise ne casse jamais un déploiement du vendredi. Si votre pipeline publie aussi du contenu qui doit être consultable, vous pouvez y intégrer cette étape, ce qui se marie bien avec l’ajout d’une recherche plein texte à un site statique. Bien fait, le CI/CD s’efface en arrière-plan et garde simplement votre branche main déployable.