Skip to content
SEO Optimizer is live, Audit on page SEO and AI-search readiness. Try it free
Scanverra
Connexion
Vérifications des pull requestsFlux de travail

Flux de travail

Vérifications des pull requests

Scanverra analyse chaque pull request, commente les problèmes critiques et élevés qu'elle ajoute et définit le statut scanverra/repo-scan. Les problèmes déjà présents sur la branche cible ne bloquent jamais un merge.

Nécessite une offre payante, un compte GitHub connecté et un accès administrateur au dépôt, car Scanverra y ajoute un webhook.

Configuration

  1. 1

    Connecter GitHub

    Sur la page Repo Scanner, connectez le compte GitHub qui administre le dépôt.
  2. 2

    Ouvrir les vérifications des pull requests

    Cliquez sur l'icône de pull request à côté du bouton Analyser du dépôt.
  3. 3

    Choisir quand analyser

    Analyser les pull requests est activé par défaut. Activez Analyser les push sur des branches pour analyser aussi les push vers les branches indiquées, par exemple main, production. Puis Activer.
  4. 4

    Rendre le statut obligatoire (facultatif)

    Dans GitHub, ouvrez Settings puis Branches, ajoutez une règle pour votre branche principale et exigez le statut scanverra/repo-scan. Les pull requests qui ajoutent des problèmes critiques ou élevés ne peuvent alors plus être fusionnées.

Ce que vérifie le statut

Chaque analyse est comparée à la dernière analyse de la branche cible de la pull request. Les constats sont rapprochés par outil, règle et fichier (pas par ligne) : déplacer du code ancien ne le rend pas nouveau. Le statut vaut failure seulement si la PR ajoute des problèmes critiques ou élevés, et error si l'analyse n'a pas pu se terminer. Scanverra garde un commentaire par PR et le met à jour à chaque push.

Le commentaire de la pull request
### ❌ Scanverra: 2 new critical or high issues

Score 72/100 · quality gate passed · compared with the latest scan of `main`

| Severity | Issue |
| --- | --- |
| 🔴 critical | Hardcoded API key (`src/lib/payments.ts:12`) |
| 🟠 high | SQL query built from user input (`src/api/orders.ts:48`) |

5 critical or high issues were already on `main` and don't block this PR.

Open the full report. From there you can open a fix pull request for the issues Scanverra can fix.

Vérifications des pull requests ou GitHub Action ?

Les deux utilisent le même moteur. Choisissez celui qui correspond à votre façon de travailler.

Vérifications des PRGitHub Action
Mise en placeUn interrupteur dans Scanverra. Aucun fichier de workflow.Un fichier de workflow et un secret de dépôt.
Où ça tourneChez Scanverra, quand GitHub envoie le webhook.Dans votre runner GitHub Actions.
CritèreNouveaux problèmes critiques ou élevés par rapport à la branche cible.fail-on par gravité, ou fail-on-new pour le même critère sur le nouveau code.
RésultatsCommentaire de PR, statut et rapport Scanverra.Log du job, SARIF dans code scanning et rapport Scanverra en cas d'envoi.

L'Action est documentée dans CI/CD.

Dépannage

  • Rien n'apparaît sur la pull request

    Dans GitHub, ouvrez les Settings du dépôt puis Webhooks, et vérifiez le dernier envoi vers Scanverra. Un 401 signifie que le secret du webhook a changé : désactivez puis réactivez les vérifications.

  • « GitHub n'a pas autorisé de webhook sur ce dépôt »

    Le compte connecté n'administre pas le dépôt. Connectez un compte administrateur ou demandez à un administrateur d'activer les vérifications.

  • Les vérifications se sont arrêtées après un changement d'offre

    Les analyses par webhook ne tournent que sur les offres payantes. Vos réglages sont conservés et refonctionnent dès que l'offre est active.

  • Tous les problèmes comptent comme nouveaux

    La branche cible n'a pas d'analyse précédente à comparer. Analysez-la une fois depuis la page Repo Scanner, ou activez Analyser les push sur des branches pour main.