🐛 [BUG] - SonarQube : rotation du mot de passe robot ignorée (users/update déprécié)

[shikanime]

Description

La rotation du mot de passe du compte robot SonarQube est sans effet. Le client appelle l'endpoint users/update pour mettre à jour le mot de passe, mais celui-ci est déprécié et ne modifie que l'email — le paramètre password est ignoré. Le secret Vault est réécrit avec un nouveau mot de passe que SonarQube ne connaît pas réellement.

Etapes de reproduction

1. Créer ou réconcilier un projet dont le secret Vault SonarQube est absent
2. Le code régénère un mot de passe et appelle users/update avec password
3. Le mot de passe côté SonarQube n'est pas changé (endpoint déprécié)
4. Constater la divergence entre le mot de passe stocké dans Vault et celui effectif sur SonarQube

Captures d'écran

Logs

Navigateurs

OS

Version de la console impactée

9.24.x (server-nestjs)

Définition du fini

• Le correctif est terminé
• Les tests liés à ce correctif ont été ajoutés

[shikanime]

Analyse

Endpoint users/update est déprécié (https://next.sonarqube.com/sonarqube/web_api/api/users/update?deprecated=true) et ne modifie que l'email — le paramètre password est ignoré. La rotation de mot de passe doit utiliser users/change_password (https://next.sonarqube.com/sonarqube/web_api/api/users/change_password).

Comportement actuel (server-nestjs)

• apps/server-nestjs/src/modules/sonarqube/sonarqube-client.service.ts : updateUser appelle users/update avec password? + email?.
• sonarqube.service.ts (ensureUser) : en chemin "secret Vault manquant", il génère un nouveau mot de passe, appelle updateUser({ password }), puis écrit le nouveau mot de passe dans Vault. SonarQube ne le prend pas en compte → divergence.

Même défaut dans le legacy

plugins/sonarqube/src/user.ts : createUser + flux password hérité reposent aussi sur users/update. Identique, hors périmètre de cette issue mais à traiter en miroir.

Proposition de correctif

Ajouter changeUserPassword(login, password) → users/change_password dans le client, et l'appeler pour la rotation (chemin sans secret Vault) au lieu de passer password à updateUser. Garder updateUser pour l'email uniquement.

Issue découverte lors de la revue de #2512 (thread L233).