Codex et GitHub : branches, PR et revue assistée

À la fin, vous saurez enchaîner Codex → branche → PR GitHub avec revue humaine, sans laisser l’agent pousser n’importe où.

Niveau : Intermédiaire · Temps estimé : 40–55 min · Dernière vérification : 2026-09-11

← Refactor tests · IA · → AI code review PR · Intro

Prérequis

• [ ] GitHub compte lab
• [ ] Codex OK
• [ ] gh CLI optionnel
• [ ] Repo distant lab (pas prod)

Coût : abonnement/tokens lab ; zéro secret. Angle DevOps Elastic Hayway.

Vous restez responsable des actions proposées.

Ce que nous allons construire

Lab Codex × GitHub
  ├── Branche feature
  ├── Edits agent + tests
  ├── Commit conventional
  └── PR + revue humaine (+ AI review)

(Schéma — alt : « codex-github ».)

Étape 1 — Règles Git non négociables

L’agent propose ; vous poussez. Protégez main. PAS de force-push. PAS de secrets dans l’historique. Tokens GitHub hors prompt.

Étape 2 — Workflow branche

Créez la branche avant l’agent. Bornez le prompt au scope de la ticket. Après edits : status, diff, test, commit local, push, PR.

Étape 3 — Messages et PR body

Demandez un message conventional et un résumé PR (pourquoi/comment/tests). Relisez : l’agent hallucine parfois des tests non lancés.

Étape 4 — Revue

Humaine d’abord. Option : ai-code-review-pr comme second regard, jamais merge auto.

Étape 5 — Automatisations prudentes

Actions CI sur PR OK ; auto-merge agent non. Si Codex propose un workflow YAML, revue sécu supply-chain.

Lab concret DevOps

mkdir -p ~/lab-codex-gh && cd ~/lab-codex-gh
git init
printf '%s
' '# Lab' > README.md
git add . && git commit -m "chore: init"
# créez un repo GitHub lab vide puis :
# git remote add origin git@github.com:USER/lab-codex-gh.git
git checkout -b feat/health-endpoint

Avec Codex : ajoutez un fichier health.md checklist pre-deploy (pas besoin d’app réelle). Puis :

git add health.md
git commit -m "docs: checklist health lab"
# git push -u origin feat/health-endpoint
# gh pr create --title "docs: health checklist" --body "Lab only — revue humaine"

Faites une passe de revue (humaine + option AI review) avant merge.

Erreurs fréquentes

Symptôme	Cause	Correctif
Push main direct	Pas de branche	Branch protection
Token dans chat	Collage PAT	Fine-grained + hors prompt
PR sans tests	Rush	CI/local check
Force-push	Réécriture	Interdit lab équipe
Merge auto agent	Surconfiance	Humain clique

Quiz (4 questions)

1. Qui pousse sur GitHub ?
– A. L’agent toujours
– B. Vous, après revue
– C. Un cron opaque

2. Avant PR :
– A. Rien
– B. Diff + tests + message clair
– C. Delete remote

3. AI review :
– A. Remplace humain
– B. Complément, pas merge auto
– C. Inutile toujours

4. Secrets GitHub :
– A. Dans le prompt Codex
– B. Hors chat, scoped
– C. Dans README

Réponses : 1‑B · 2‑B · 3‑B · 4‑B

Compléments opérationnels

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.

Standard de brief réutilisable

Pour codex-github, adoptez un brief unique partagé par l’équipe. Il contient toujours cinq champs : objectif mesurable, contexte borné (lab/staging), liste blanche de fichiers ou ressources, interdits explicites (secrets, réseau, prod), et definition of done exécutable (commande de test ou checklist). Sans ces champs, l’outil improvisera — parfois avec élégance, souvent hors périmètre.

Stockez les briefs gagnants sous briefs/codex-github/ dans un dépôt de documentation interne. Chaque brief cite le commit de référence et le modèle utilisé. Au troisième succès comparable, ouvrez une PR qui transforme le brief en rule, Skill ou slash command. Voir ai-skills-concept, claude-skills-instructions et evaluer-qualite-skill.

Revue de diff comme compétence P0

La vitesse d’un agent n’a aucune valeur si personne ne sait lire un diff. Instituez une règle simple : aucun apply massif sans parcours hunk par hunk. Posez-vous trois questions : ce changement est-il demandé ? est-il testé ? est-il réversible ? Si une réponse est non, refusez ou exigez un plan plus petit.

En atelier, faites commenter un diff à voix haute pendant cinq minutes. Les juniors apprennent ainsi le vocabulaire du refus. Reliez cette pratique à ai-code-review-pr et aux workflows ai-agent-workflows.

Sécurité continue

Les surfaces codex-github multiplient les occasions d’injection et de fuite. Traitez tickets, README upstream, logs et ressources MCP comme des données non fiables. Séparez instructions et données. Allowlist tools. Confirmation humaine avant mutation. Guide : ai-prompt-injection-securite, mcp-servers-devops, claude-code-mcp.

Secrets : variables d’environnement de session, gestionnaire d’équipe, rotation, jamais de commit. Si un secret fuit dans un chat vendor, supposez-le compromis et rotatez.

Coûts, modèles et mode dégradé

Documentez un mapping fast/strong et un soft-cap mensuel dans la stack perso. OpenRouter peut aider à basculer — openrouter-multi-modeles. Le local (ollama-llm-locaux + continue-dev) sert de mode dégradé ou de bac à sable confidentialité.

Surveillez les changements silencieux de modèle par défaut : une régression de qualité est souvent un routing vendor, pas « l’équipe qui a oublié comment prompter ».

Ancrage parcours

codex-github n’est qu’une étape du parcours IA DevOps 2026. Tronc commun d’abord (prompts, injection, skills), puis surface spécialisée, puis industrialisation (routines, MCP, RAG). Hub de navigation : /ia/. Comparatifs utiles : claude-vs-gpt-code, codex-vs-claude-code, claude-vs-cursor-vs-copilot.

Rituals hebdomadaires

Hebdo : promouvoir un brief en Skill/rule ; archiver un échec instructif ; vérifier le budget tokens. Mensuel : revoir la stack (retirer l’inutile) ; rejouer un lab gold ; mettre à jour les versions d’outils. Ces rituals valent mieux que d’ajouter un cinquième abonnement.

Exemple de NOTES.md

# NOTES codex-github
Date:
Modèle:
Brief (résumé):
Fichiers touchés:
Commande DoD:
Refus utiles:
Commit:
Leçon:

Sans ce journal, vous réapprendrez les mêmes leçons chaque sprint. Avec ce journal, vous construisez un avantage composé d’équipe.

Quand arrêter l’outil

Arrêtez la session si : le DoD échoue deux fois de suite sans diagnostic clair ; l’outil insiste pour sortir du scope ; une commande dangereuse revient après refus ; vous ne comprenez plus le diff. Dans ces cas, revenir à l’éditeur manuel + checklist est un succès de gouvernance, pas un échec personnel.

Ponts concrets vers d’autres tutoriels

Après ce lab, enchaînez selon besoin : agent CLI (claude-code-demarrer, openai-codex-intro-2026, aider-pair-programming), IDE (windsurf-cascade, continue-dev, cursor-agent-composer-2026), qualité (evaluer-qualite-skill, ai-routines-agents), ou recherche (gemini-cli-deep-research, chatgpt-search-browsing).

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.

FAQ

Quel voisin lire après codex-github ?
Parcours · /ia/ · stack perso.

Peut-on skipper le lab Git ?
Non — sans livrable versionné, pas de preuve d’apprentissage.

gh CLI obligatoire ?
Non, UI GitHub OK.

Bitbucket/GitLab ?
Même discipline branches/MR.

Codex crée la PR seul ?
Selon intégration — vous validez toujours.

Lien refactor ?
Enchaînez depuis codex-refactor-tests.

Points clés

• Branches + protection main
• Humain pousse/merge
• PR body honnête
• AI review secondaire
• Tokens hors prompt

Pour aller plus loin / Suite

1. AI code review · Refactor
2. CLI IDE · Parcours
3. /ia/

Maillage série IA Outils 2026

• Hub : /tutoriels/ia-parcours-devops-2026/ · /ia/
• Sécurité : prompt injection

• seo_title : Codex GitHub PR DevOps | Elastic Hayway
• seo_desc : Enchaînez Codex vers branches et PR GitHub avec revue humaine — tutoriel FR.
• focus : Codex GitHub

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.

Mesure et amélioration continue

Définissez trois indicateurs simples : taux de DoD vert du premier coup, nombre de refus utiles par session, coût tokens par livrable Git accepté. Revoyez-les toutes les deux semaines. Si le taux DoD stagne sous 50 %, le problème est le brief ou le corpus de rules, pas « le besoin d’un modèle plus cher ». Si le coût explose, imposez un modèle fast par défaut et réservez strong aux plans. Publiez un mini tableau dans le dépôt docs pour rendre le coût visible à l’équipe, comme n’importe quelle ligne cloud.