GitHub Actions v roku 2026. Lockfiles a bezpečnosť behov

Workflow môže po posune tagu spustiť iný kód, hoci sa vo Vašom repozitári nič nezmenilo. Pri kontrole GitHub Actions preto začnite tým, čo sa skutočne vykonáva a ku ktorým údajom sa beh dostane.

GitHub predstavil bezpečnostnú roadmapu Actions s uzamykaním závislostí, politikami a kontrolou siete. Medzi plánom a dostupnou funkciou však treba rozlišovať. Nasledujúci postup oddeľuje existujúce opatrenia od funkcií, ktorých stav si musíte overiť.

Uzamknite verzie, ktoré ste skontrolovali

Odkaz na tag, napríklad actions/checkout@v4, sa môže časom presunúť. Konkrétny commit SHA drží priamu závislosť na zvolenej verzii. Aj tú však musíte najprv posúdiť. SHA samo nepotvrdzuje bezpečnosť kódu.

Workflow lockfiles sú podľa GitHubu od 14. októbra 2026 vo verejnom preview. Nástroj gh actions-lock vytvorí súbor .github/workflows/actions.lock. Pokrýva aj tranzitívne závislosti a opakovane použiteľné workflowy. Zapojený workflow používa zaznamenané commity aj vtedy, keď sa tag posunie.

Nie je to iba automatické prepísanie každého uses: na SHA. Overte podporu vo Vašom pláne a zmeny lockfile kontrolujte spolu so zmenou závislosti.

Sieťové obmedzenia dopĺňajú kontrolu kódu

Roadmapa opisuje firewall mimo virtuálneho stroja runnera. Cieľom je obmedziť odchádzajúce spojenia aj v prípade kompromitácie prostredia. Pred zavedením overte aktuálnu dostupnosť a rozdiel medzi sledovaním prevádzky a vynucovaním pravidiel.

Povolená doména ešte neznamená bezpečný prenos. Útočný kód môže zneužiť povolenú službu alebo upraviť výsledný balík bez odchádzajúceho spojenia. Firewall preto nenahrádza kontrolu závislostí ani oprávnení.

Politiky a telemetria potrebujú konkrétny účel

Určte, kto môže meniť workflow a spustiť produkčné nasadenie. Obmedzte oprávnenia tokenov na potrebné operácie a citlivé kroky viažte na schválenie. Názov novej funkcie nenahrádza tieto rozhodnutia.

Telemetriu využite na dohľadanie procesov a spojení pri incidente. Najprv si určte, kto upozornenie prevezme a ako dlho potrebujete záznamy uchovať. Presné možnosti exportu a plánované funkcie si overte v aktuálnej dokumentácii.

Čo môžete preveriť dnes

Prejdite závislosti a ich pôvod. Potom skontrolujte dostupné secrets a oprávnenia jednotlivých behov. Použite bezpečnostné odporúčania GitHubu, nie počet hviezdičiek projektu ako dôkaz dôveryhodnosti.

Build súvisí aj s tým, čo sa neskôr spustí v prehliadači. Túto časť opisujeme v článku o client-side security. Pri regulovaných systémoch pomôže aj prehľad prípravy na NIS2. Ak potrebujete prejsť konkrétny workflow, ozvite sa.