GitHub Actions v roce 2026. Lockfiles a bezpečnost běhů

Workflow může po přesunu tagu spustit jiný kód, i když se ve vašem repozitáři nic nezměnilo. Při kontrole GitHub Actions proto zjistěte, co se skutečně vykonává a ke kterým údajům má běh přístup.

GitHub představil bezpečnostní roadmapu Actions s uzamykáním závislostí, politikami a síťovými pravidly. Plán však není totéž co dostupná funkce. U každého opatření si ověřte aktuální stav.

Uzamkněte verze, které jste prověřili

Tag jako actions/checkout@v4 se může přesunout. Konkrétní commit SHA drží přímou závislost na vybrané verzi. Bezpečnost jejího kódu tím ale nepotvrzuje.

Workflow lockfiles jsou podle GitHubu od 14. října 2026 ve veřejném preview. Rozšíření gh actions-lock vytvoří soubor .github/workflows/actions.lock. Zahrnuje také tranzitivní závislosti a opakovaně použitelné workflowy. Zapojený workflow spouští zaznamenané commity i po přesunu tagu.

Nejde jen o automatické přepsání každého uses: na SHA. Ověřte podporu ve svém plánu a změny lockfile kontrolujte spolu s aktualizací závislosti.

Síťová pravidla doplňují kontrolu kódu

Roadmapa popisuje firewall mimo virtuální stroj runneru. Má omezit odchozí spojení i při kompromitaci uvnitř prostředí. Před zavedením ověřte dostupnost a odlište sledování provozu od vynucování pravidel.

Povolená doména nezaručuje bezpečný přenos. Škodlivý kód může zneužít schválenou službu nebo změnit výsledný balík bez spojení ven. Firewall nenahrazuje kontrolu závislostí a oprávnění.

Politiky i telemetrie potřebují vlastníka

Určete, kdo může měnit workflow a spustit produkční nasazení. Tokenům přidělte jen oprávnění potřebná pro úlohu a citlivé kroky podmiňte schválením.

Telemetrie má pomoci dohledat procesy a spojení při incidentu. Dohodněte, kdo převezme upozornění a jak dlouho potřebujete uchovat záznamy. Přesné možnosti exportu ověřte v aktuální dokumentaci.

Začněte kontrolou současných běhů

Prověřte původ závislostí, dostupné secrets a oprávnění úloh podle bezpečnostních doporučení GitHubu. Počet hvězdiček projektu tuto kontrolu nenahrazuje.

Build dodává kód, který se později spustí v prohlížeči. Tuto část rozebíráme v článku o client-side security. U regulovaných systémů pomůže také přehled přípravy na NIS2. Konkrétní workflow můžeme projít při konzultaci.