CI/CD seguro en Azure DevOps
Promover cambios desde Feature hacia Dev, Staging y Producción con gates de calidad, seguridad y artefactos inmutables.
Flujo de promoción
Feature branch -> Pull Request -> Dev: ejecutar compilación, SAST con SonarQube y pruebas unitarias; el PR solo entra con Quality Gate aprobado.
Dev -> Staging: construir una única imagen Docker versionada, desplegarla en Staging y ejecutar smoke tests, integración y DAST con OWASP ZAP.
Staging -> Producción: promover la misma imagen validada; mover el tag `latest` solo como alias posterior al release, nunca reconstruir el artefacto.
Controles profesionales
Branch policies exigen PR, revisión, build obligatorio y resolución de comentarios; secretos viven en Key Vault o variables protegidas.
Cada ambiente usa aprobaciones, service connections con mínimo privilegio, trazabilidad del commit y rollback al tag anterior.
Separar el build del deploy hace que el artefacto sea reproducible y evita que Staging y Producción ejecuten código distinto.
Compensaciones
Más gates aumentan el tiempo de feedback, por lo que conviene separar validaciones rápidas de suites profundas y paralelizarlas.
El pipeline no sustituye threat modeling, revisión humana ni observabilidad posterior al despliegue.
El criterio de promoción debe quedar versionado y medirse con métricas como lead time, change failure rate y tiempo de recuperación.
Comentarios