Pépin : détecter ce qui fragilise réellement votre cloud

Un scanner qui ne trouve rien ne prouve pas que tout va bien : il prouve qu'il n'a rien trouvé. Pépin audite la configuration effective des clouds souverains européens, à partir d'un plan Terraform avant déploiement ou d'une collecte live après, et il tient à distinguer trois choses que la plupart des outils confondent : ce qui est conforme, ce qui ne l'est pas, et ce qu'il n'a pas pu observer.

Ce que vous allez apprendre

• Expliquer pourquoi une absence de résultat ne prouve pas la conformité.
• Distinguer les quatre statuts d'un résultat et ce que chacun autorise à conclure.
• Choisir entre l'audit d'un plan Terraform et celui d'un tenant.
• Situer ce que l'outil ne couvre pas et l'état réel du projet.

Prérequis

Cette leçon est facultative. Elle suppose de savoir ce qu'est une posture de configuration cloud et la responsabilité partagée entre fournisseur et client. Deux termes servent tout du long : un plan Terraform est la liste de ce que terraform plan s'apprête à créer, et un tenant est l'espace de votre organisation chez un fournisseur cloud.

Le problème, avant l'architecture

Votre Terraform paraît correct. Votre tenant aussi. Une règle réseau trop large, une clé d'accès sans expiration ou un bucket ouvert suffisent pourtant à changer la posture, et rien dans la console ne vous le signale.

La difficulté n'est pas de trouver ces écarts, beaucoup d'outils le font. Elle est de savoir ce que le scanner a réellement regardé. Une absence de finding (un écart signalé par le scanner) peut vouloir dire « c'est propre », ou « je n'ai pas pu collecter la donnée ». Confondre les deux transforme un audit en fausse assurance.

Un scan, un verdict

Aucun compte cloud n'est nécessaire pour voir Pépin fonctionner : le dépôt fournit des inventaires d'exemple. Il faut toutefois installer Pépin et cloner son dépôt pour disposer du dossier examples/ ; la page premier scan montre comment, pas à pas.

pepin scan scaleway examples/scaleway/inventory.json

La sortie se termine par ceci, et le code de retour vaut 1 :

 Verdict : NON CONFORME

 🔴 CRITICAL 2   🟠 HIGH 2   🟡 MEDIUM 0   🔵 LOW 0

Sur l'inventaire corrigé, que la page du premier scan vous fait manipuler, le même contrôle rend un verdict qui mérite d'être lu mot à mot, et le code de retour retombe à 0 :

 Verdict : conforme sur le périmètre évalué
 (aucune non-conformité détectée, 12 contrôles conformes)

« Conforme sur le périmètre évalué », et le nombre de contrôles qui l'établissent. Pas « conforme ». La nuance est tout le produit.

Ce que le tableau ne montre pas, et que Pépin sait

La sortie lisible affiche les écarts. Le format assessment affiche la vérité complète, statut par statut. Sur l'inventaire vulnérable ci-dessus :

Statut	Nombre	Ce que ça veut dire
fail	4	l'écart est constaté, avec la ressource en cause
pass	7	la donnée nécessaire a été collectée, et elle est conforme
not-applicable	2	le contrat du fournisseur déclare que ce contrôle ne peut pas exister chez lui, justification à l'appui
not-evaluated	14	la donnée manquait : aucune conclusion n'est tirée

Glissez pour voir

Quatorze contrôles sur vingt-sept n'ont pas pu être évalués, et c'est écrit. Un scanner qui aurait compté ces quatorze comme des succès aurait affiché un score flatteur et faux. Chaque non-évaluation porte sa raison :

compute_instance_has_security_group
  aucune ressource de type « compute_instance » dans l'inventaire évalué

governance_resource_required_tags
  collecte de la donnée nécessaire non confirmée pour ce fournisseur

La règle qui tient tout le reste

Une absence de finding n'est jamais convertie en conformité. C'est le seul engagement dont découlent tous les autres : le statut not-evaluated, la raison attachée, le décompte des contrôles conformes dans le verdict, et le refus d'afficher un pourcentage global de couverture qui mélangerait des degrés de preuve différents.

Sur quoi Pépin travaille

Trois fournisseurs, deux sources de données. Chacun est décrit dans son vocabulaire natif, jamais par comparaison à un hyperscaler.

Fournisseur	Audit d'un plan Terraform	Collecte live via l'API
Scaleway	oui	oui
Outscale	oui	oui
Exoscale	oui	oui

Glissez pour voir

Les deux sources ne répondent pas à la même question. Le plan Terraform dit ce que vous vous apprêtez à créer, et permet de bloquer avant le déploiement. La collecte live dit ce qui tourne réellement, y compris ce que personne n'a déclaré dans le code.

Ce à quoi les résultats se rattachent

Les contrôles sont ancrés sur un référentiel commun de 58 contrôles, avec leurs correspondances vers SCSL (le référentiel commun du domaine cloud de SOCLE), SecNumCloud 3.2, CIS Controls v8 et ISO/IEC 27001:2022 et 27017. Chaque finding porte sa référence normative et un lien vers l'explication du contrôle.

Ce que ces correspondances ne sont pas

Pépin le rappelle en pied de chaque rapport, et cette page le répète : les correspondances normatives sont indicatives. Elles ne constituent pas une preuve de qualification ou de certification, laquelle porte sur le prestataire de service cloud, pas sur votre configuration.

Ce que Pépin évalue, c'est le périmètre commanditaire : la configuration de votre tenant telle que l'API ou le plan Terraform la décrivent, donc ce dont vous êtes responsable côté plateforme dans le modèle de responsabilité partagée. L'intérieur des machines (système invité, chiffrement côté invité) n'est pas observé. C'est déjà beaucoup, et c'est autre chose qu'un certificat : une posture lue, pas une qualification.

Par où commencer

Deux portes d'entrée suffisent pour commencer : voir Pépin à l'œuvre sur un projet de test, ou lire un résultat que vous avez déjà. Choisissez celle qui correspond à votre situation.

Pour voir Pépin à l'œuvre, le guide premier scan mène en cinq minutes à un résultat, sans compte cloud ni identifiant. Pour lire un résultat que vous avez déjà, la leçon facultative Conforme, en écart ou impossible à conclure explique les quatre statuts, la sévérité, la confiance et la provenance. Elle vise le geste de lire une posture, plus que celui de manipuler l'outil.

L'état réel du projet

Pépin est en version 0.4.0. C'est un projet jeune, sous licence Apache-2.0, et cette page préfère le dire que le laisser découvrir.

	État au 16 octobre 2026
Contrôles du référentiel commun	58
Fournisseurs	Scaleway, Outscale, Exoscale
Sources	plan Terraform, collecte live via API
Formats de sortie	table, json, assessment, oscal, sarif
Bundle de preuve	--seal, relu par pepin verify, signature cosign facultative
Langues	français et anglais, détectées automatiquement

Glissez pour voir

Ce qui reste en chantier est dit à sa place plutôt qu'ici : chaque page indique ses propres limites.

Pour la référence technique et les options de la ligne de commande, voyez le dépôt Pépin sur GitHub. Le format d'export oscal suit le référentiel OSCAL du NIST, et les correspondances s'ancrent sur SecNumCloud, référentiel de l'ANSSI.

À retenir

• Une absence de finding n'est pas une conformité. Pépin distingue pass, fail, not-applicable et not-evaluated, et justifie les deux derniers.
• Le verdict conforme est qualifié : « sur le périmètre évalué », avec le nombre de contrôles qui l'établissent.
• Trois fournisseurs, décrits dans leur vocabulaire natif : Scaleway, Outscale et Exoscale.
• Deux sources, qui ne répondent pas à la même question : le plan Terraform avant déploiement, la collecte live après.
• 58 contrôles rattachés à SCSL, SecNumCloud 3.2, CIS v8 et ISO 27001/27017.
• Les correspondances normatives sont indicatives : la qualification porte sur le fournisseur, pas sur votre configuration.
• Le projet est en 0.4.0, sous Apache-2.0, et le dit.

Contrôle de connaissances

Vérifiez que l'essentiel de cette leçon est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →