Git Plugin Installer : déployer des plugins GLPI depuis n'importe quel dépôt git

Deuxième plugin GLPI que nous ouvrons en open source : Git Plugin Installer, désormais publié sur GitHub sous licence libre.

Pourquoi open source

Un outil qui télécharge et installe du code dans votre GLPI est précisément le genre de chose qui doit être ouvert. Vous devez pouvoir auditer ses défenses ligne par ligne, pas les prendre sur parole :

• lisez vous-même les protections SSRF et anti-zip-slip avant de leur confier du code distant ;
• contribuez de nouveaux fournisseurs de dépôts ou politiques, au lieu d’attendre un éditeur ;
• conservez une réversibilité totale — l’installeur se retire sans rien laisser derrière lui.

Écrit selon les bonnes pratiques GLPI 10/11, avec le modèle de menace « récupérer des archives non fiables » en tête.

Ce que fait le plugin

Le plugin étend le gestionnaire de plugins natif de GLPI pour installer et mettre à jour des plugins depuis des dépôts git / HTTPS (GitHub, GitLab, Gitea, Forgejo). Au programme :

• politique de référence par source : suivre une branche, le dernier tag, épingler un tag/SHA, ou un asset de release ;
• identifiants chiffrés (GLPIKey) pour les dépôts privés ;
• téléchargement par archive HTTPS — aucun binaire git requis ;
• récupération protégée contre la SSRF (blocage DNS des IP privées/loopback/métadonnées, allowlist d’hôtes, re-validation sur redirection) ;
• extraction protégée contre le zip-slip, placement atomique ;
• cron horaire de vérification des mises à jour, badge de mise à jour et digest e-mail quotidien (uniquement en cas de changement).

Le plugin sait se mettre à jour lui-même. Version 0.1.0.

→ https://github.com/FathiBenNasr/gitplugins

La suite

D’autres plugins issus de nos déploiements sont dans la feuille de route et seront publiés au fil de leur stabilisation.

Vous déployez GLPI et cherchez un plugin sur mesure, de l’infogérance ou un durcissement ? Parlons-en. Et suivez-nous sur GitHub pour les prochaines publications.