Aller au contenu

Guide d'intégration Bitrise

Intégrez facilement les scans de sécurité automatisés d'Ostorlab pour les applications mobiles Android dans votre pipeline CI Bitrise.

Générer une clé API Ostorlab

  1. Accédez au menu des clés API
  2. Cliquez sur le bouton New pour générer une nouvelle clé
  3. Copiez la clé API (Vous pouvez ajouter un nom et une date d'expiration à votre clé)
  4. Cliquez sur le bouton Save pour enregistrer votre clé

Création de clé API

Ajouter la clé API comme Secret Bitrise

  1. Ouvrez votre projet Bitrise
  2. Allez dans Workflow Editor
  3. Naviguez vers Secrets

  4. Ajoutez un nouveau secret :

  5. Enregistrez le secret.

Ajouter un secret Bitrise

Ajouter des variables d'environnement

Vous pouvez configurer des paramètres supplémentaires pour le scan.

Variables d'environnement

Ajouter une étape de workflow Bitrise

  1. Allez dans Workflow Editor
  2. Sélectionnez le workflow où vous souhaitez exécuter le scan (par exemple, `primary`)
  3. Cliquez sur Add Step
  4. Recherchez Script
  5. Sélectionnez l'étape Script pour l'ajouter au workflow

Ajouter une étape de script

Configurer l'étape de script

  1. Dans l'étape Script, choisissez Custom Script
  2. Collez le script de la section suivante dans le champ Script content
  3. Enregistrez le workflow

Configurer l'étape de script

Ajouter le script Ostorlab

Ajoutez le script bash suivant dans l'étape de script :

#!/bin/bash
set -e

python3 -m pip install --upgrade pip
pip install ostorlab

ostorlab \
  --api-key="$API_KEY" \
  ci-scan run \
  --title="$Scan_Title" \
  --scan-profile="$SCAN_PROFILE" \
  android-apk "$BITRISE_APK_PATH"

Options supplémentaires

Voici la liste complète des options pour la commande `ostorlab ci-scan run` : 

ostorlab --api-key <API_KEY> ci-scan run --option <asset-type> <target>

  • --api-key : Clé API générée par Ostorlab.

  • --title : Titre du scan

  • --scan-profile : Type de scan. Les options possibles sont :

    1. `fast` : Exécute uniquement l'analyse statique ;
    2. `full` : Exécute les analyses statique, dynamique et backend.

  • Identifiants de test : Authentification automatique dans le scan complet d'analyse dynamique :

    • --test-credentials-login : Nom d'utilisateur à utiliser dans les champs de connexion ;
    • --test-credentials-password : Mot de passe à utiliser dans les champs de mot de passe ;
    • --test-credentials-role : Champ de rôle optionnel ;
    • Identifiants de test personnalisés/génériques :
      • --test-credentials-name : Nom personnalisé du champ ;
      • --test-credentials-value : Valeur personnalisée du champ

  • Identifiants 2FA :

  • --sbom : Chemin vers le fichier sbom. Le fichier sbom doit également être monté comme spécifié à l'étape 3.

  • --ui-prompt-name : Nom de l'invite UI à passer au CLI Ostorlab.

  • --ui-prompt-action : Action de l'invite UI à passer au CLI Ostorlab. Les invites UI sont une fonctionnalité puissante qui vous permet d'utiliser le langage naturel pour indiquer au scanner comment naviguer dans l'application. Vous pouvez ajouter plusieurs invites en ajoutant les arguments plusieurs fois, par exemple : ```shell --ui-prompt-name accept-terms --ui-prompt-action "Scroll down and tap the 'Accept Terms' checkbox." --ui-prompt-name submit --ui-prompt-action "Tap the 'Submit' button to complete the login process." ```

  • --ui-prompt-id : Liste des ID d'invite UI existants à passer au CLI Ostorlab. Cela vous permet de réutiliser des flux d'invites UI précédemment définis grâce à leurs ID. Vous pouvez ajouter plusieurs ID d'invite en ajoutant l'argument plusieurs fois, par exemple : ```shell --ui-prompt-id 123 --ui-prompt-id 456 ```

  • asset-type : Type de l'actif à scanner. Valeurs possibles :

    • `android-aab` : Scanner un fichier de package Android `.AAB` ;
    • `android-apk` : Scanner un fichier de package Android `.APK` ;
    • `ios-ipa` : Scanner un fichier de package iOS `.IPA` ;

  • target : Chemin vers l'application cible. L'application doit être montée comme spécifié à l'étape 3.