Branch protection inschakelen op main van RIG-Cluster

[uittenbroekrobbert]

Context

PR #78 (ArgoCD AppProject) sluit het pad waarop een push naar main van RijksICTGilde/RIG-Cluster direct in productie kan landen via ArgoCD-sync. Daarmee is een willekeurige push een directe RCE-vector op de productie-cluster mits iemand schrijfrechten heeft op main.

Waarom follow-up

PR #78 perkt de schade in (AppProject beperkt wat ArgoCD mag toepassen) maar adresseert het instappunt niet. Branch protection op main voorkomt onbedoelde of malafide directe pushes en dwingt review-flow af.

Aanpak

GitHub repo-settings → Branches → main:

• Require pull request reviews before merging (minimaal 1 reviewer)
• Require status checks to pass (de Claude Code CI uit CI secret-scanning toevoegen (gitleaks of trufflehog) #94/Backup pipeline tests: Kopia/kubectl mocken (vervangt requires_infra) #97)
• Restrict who can push to matching branches (alleen admins voor emergency)
• Do not allow bypassing the above settings (incl. admins, of bewust uitgezonderd voor emergency)
• Block force-push
• Block deletions

Bron

• fix(argocd): beperk productie-Applications met restrictief AppProject #78 (sluit blast radius, niet entry point)