diff --git a/.github/workflows/infra.yml b/.github/workflows/infra.yml
index 06553b9..a49088e 100644
--- a/.github/workflows/infra.yml
+++ b/.github/workflows/infra.yml
@@ -31,8 +31,10 @@ jobs:
       - name: Récupère le dépôt
         uses: actions/checkout@v7
 
+      # Action tierce, donc epinglee sur un SHA de commit et pas sur un tag mobile : un tag se
+      # redeplace, et ce workflow tourne avec les droits du depot (regle Sonar githubactions:S7637).
       - name: Installe Terraform
-        uses: hashicorp/setup-terraform@v3
+        uses: hashicorp/setup-terraform@dfe3c3f87815947d99a8997f908cb6525fc44e9e # v4.0.1
         with:
           terraform_version: 1.16.3
           terraform_wrapper: false