Détectez le risque ADA et EAA à chaque pull request.

Six étapes, quatre minutes.

1. 1

   Create an API key from the API keys page in your ScanAccess dashboard. Keys are prefixed sa_live_ (production) or sa_test_ (sandbox).

2. 2

   Store the key as SCAN_ACCESS_API_KEY in your repository's GitHub Secrets (Settings → Secrets and variables → Actions). Keys are shown once at creation.

3. 3

   Make sure your project has a build step (npm run build) that outputs a static bundle, and that npx serve can serve it on a local port.

4. 4

   Keep the rendering engine pinned to the version shown in the snippet — using another version triggers a runtime error.

5. 5

   Copy this workflow into .github/workflows/a11y.yml. Set your app routes under routes: (one per line). Adjust fail-on if needed (never|minor|moderate|serious|critical|any — default: critical).

6. 6

   Open a pull request. The Action runs, posts findings as a PR check, and uploads a SARIF file to the Security tab of your repository.

À copier tel quel.

name: Accessibility audit
on:
  pull_request:
permissions:
  contents: read
  pull-requests: write
  security-events: write
jobs:
  a11y:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: "22"
      - run: npm ci
      - run: npm run build
      - run: npx serve -l 4173 ./dist &
      - uses: actions/cache@v4
        with:
          path: ~/.cache/ms-playwright
          key: playwright-chromium-1.60.0
      - run: npx playwright@1.60.0 install --with-deps chromium
      - uses: ghostdog-dev/scan-access-action@v2
        id: a11y
        with:
          api-key: ${{ secrets.SCAN_ACCESS_API_KEY }}
          app-url: http://localhost:4173
          routes: |
            /
            /pricing
            /about
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: ${{ steps.a11y.outputs.sarif-file }}

Important notes

• ⚠Épinglez Playwright à 1.60.0

  Ne changez pas la version de Playwright. L'Action embarque un binaire Chromium compilé pour 1.60.0. Toute discordance provoque une erreur « Executable doesn't exist » qui fera échouer votre workflow silencieusement jusqu'à ce que le cache soit vidé.

• ⚠Auto-hébergez polices et CSS

  Playwright s'exécute dans un runner isolé. Les ressources CDN externes (Google Fonts, Tailwind CDN) peuvent être bloquées ou expirer. Regroupez ou intégrez tous les assets dans votre build avant de servir.

• ⚠Permissions requises

  Le workflow nécessite contents: read, pull-requests: write (pour publier la vérification de PR) et security-events: write (pour importer le fichier SARIF). Sans ces permissions, l'Action échouera avec une erreur 403 à l'étape d'import SARIF.

• ⚠Ne forcez pas le chemin de cache du navigateur

  Définir PLAYWRIGHT_BROWSERS_PATH écrase l'emplacement du cache par défaut et casse l'étape de cache/restauration. Utilisez le chemin de cache ~/.cache/ms-playwright comme indiqué dans le snippet.

Livrez vite sans livrer un procès.

• Thème Shopify / application Remix

  Bloquez les régressions de contraste et d'alt avant qu'elles n'atteignent vos clients — et voyez quelle app tierce (Klaviyo, Yotpo, Privy) a introduit chacune.

• SaaS Next.js / Astro / Vite

  S'exécute à chaque preview deploy. Votre app est buildée et rendue dans le runner — aucune URL publique. Chaque route auditée selon WCAG 2.2 AA avant le merge.

• Agence numérique (multi-clients)

  Un workflow par dépôt client, tous reliés à un seul compte agence. Le plan Agency couvre 1 000 scans CI/mois sur jusqu'à 50 sites — rapports white-label inclus.

Questions courantes de configuration.