Jenkins

Use a pipeline declarativa com a imagem da CLI como agente. É necessário ter o plugin Docker Pipeline e Docker disponível no agente.

Credenciais

Em Manage Jenkins → Credentials, crie uma credencial Secret text com ID runtz-token e o token gerado na plataforma.

Analisar o repositório

pipeline {
  agent {
    docker {
      image 'runtzdev/runtz-cli:latest'
      args '--entrypoint='
    }
  }
  environment {
    RUNTZ_ENDPOINT = 'https://engine.runtz.dev'
    RUNTZ_TOKEN = credentials('runtz-token')
  }
  stages {
    stage('Scan SCA') {
      steps { sh 'runtz sca . --project "$JOB_BASE_NAME" --source "$GIT_URL"' }
    }
    stage('Scan SAST') {
      steps { sh 'runtz sast . --project "$JOB_BASE_NAME" --source "$GIT_URL"' }
    }
  }
}

args '--entrypoint=' limpa o entrypoint para que o Jenkins inicie seu próprio shell. O workspace é montado automaticamente e credentials() mascara o token nos logs.

Analisar uma imagem

Para uma imagem pública, execute runtz container my-org/my-app:latest. Para uma imagem local, rode a CLI em um estágio agent any, monte /var/run/docker.sock, adicione o grupo do socket com --group-add e use --local.

Fixe uma tag de release para builds reproduzíveis. Por padrão, achados não falham o build; configure gates de severidade quando necessário.