Terraform et infrastructure as code

Chaque module racine déclare un backend distant avec verrouillage de l'état et chiffrement au repos. Un module racine sans bloc `backend`, ou avec `local`, est refusé. Un état local signifie que deux `apply` concurrents écrasent mutuellement leur vision de la réalité, et que les ressources du perdant deviennent des orphelines introuvables.

Bloque : la corruption de l'état est la seule défaillance Terraform sans reprise propre.

`required_providers` épingle avec `~>` ou `=`, et chaque bloc `module` épingle une `version` du registre ou un SHA de commit git. `ref = "main"` et les providers sans contrainte sont refusés. Une montée de version non épinglée transforme une PR d'une ligne sans rapport en migration non prévue, découverte au moment de l'`apply`, dans l'environnement passé le premier.

Bloque : cela rend tout `apply` futur non reproductible, rollback compris.

Les secrets viennent d'une data source de gestionnaire de secrets ou d'une référence native au provider. Un identifiant en dur, ou une `variable` dont le `default` est un secret, est refusé. Les variables qui portent des secrets sont déclarées `sensitive = true`. Les valeurs se retrouvent dans le fichier d'état et dans la sortie du plan — et cette sortie est couramment publiée en commentaire de PR.

Bloque : le secret est divulgué à quiconque a accès au repo ou à l'état.

Les ressources ne portent pas de bloc `provisioner`. Utilisez plutôt un script de démarrage, une image préconstruite ou un véritable outil de configuration. Un provisioner ne s'exécute qu'à la création, reste invisible pour `plan`, et son échec marque la ressource `tainted` — l'`apply` suivant la détruit et la recrée, ce qui, sur une base de données ou un disque, emporte les données et pas seulement la ressource.

Bloque : une ressource à état marquée `tainted` est détruite au prochain `apply`, sans que rien dans le plan ne l'ait annoncé.

Les bases de données, les buckets qui contiennent des données clients et les disques persistants activent la protection contre la suppression du provider (`deletion_protection`, `prevent_destroy`, politique de rétention) ainsi qu'une rétention de sauvegarde supérieure à zéro. La retirer ou la désactiver dans la même PR qu'un autre changement est refusé — cela part dans sa propre PR, délibérément.

Bloque : ce drapeau est la dernière chose qui sépare un mauvais plan d'une perte définitive.

Les règles de security group, de pare-feu et d'ACL réseau ne doivent pas autoriser `0.0.0.0/0` ni `::/0` sur autre chose que les ports 80 et 443, ni attacher une IP publique à une base de données ou à un cache. Si une exception est réellement nécessaire, un commentaire juste au-dessus de la règle en nomme la raison et le responsable. Les ports 22 et 5432 ouverts au monde entier, c'est ainsi que des bases de données se retrouvent en quelques heures dans un index de scan public.

Bloque : l'exposition est immédiate et mondiale dès l'`apply`.

Les buckets et les volumes déclarent explicitement le chiffrement au repos et le blocage de l'accès public, même quand le défaut du provider le fait déjà. Ce défaut varie selon le provider, la région et la date de création du compte — c'est le bloc explicite qui reste vrai après une migration, et que l'auditeur peut réellement lire.

Avertit : c'est le plus souvent redondant avec un défaut moderne, donc bloquer ne ferait que du bruit — mais c'est la ligne explicite qui survit.

Les collections de ressources distinctes utilisent `for_each` avec une clé stable. `count` sur une liste est refusé partout où les éléments ont une identité. Retirer un élément renumérote tous les indices suivants : Terraform détruit et recrée alors des ressources qui n'ont pas changé — invisible dans le diff, visible seulement dans le plan.

Avertit : c'est un piège de correction, mais migrer un `count` existant coûte cher.

Chaque bloc `variable` porte un `type` et une `description`, plus un bloc `validation` pour les énumérations, les CIDR et les limites de taille. Une variable non typée ou non validée échoue au moment de l'`apply`, à mi-parcours d'un changement, au lieu d'échouer au `plan`.

Indicatif : cela améliore le mode de défaillance plutôt que d'empêcher la défaillance.

Les noms de ressources incluent l'environnement et la charge (`{env}-{service}-{role}`), et chaque ressource hérite du jeu de tags partagé (owner, service, cost-center) via `default_tags` ou `local.tags`. Les ressources sans tag sont inattribuables sur la facture et introuvables pendant un incident — et personne ne revient jamais les taguer.

Indicatif : de l'hygiène pure, mais du genre qui se cumule sur des centaines de ressources.