GitHub Actions : un commit verrouillé doit être examiné
Qu’a-t-on approuvé si un workflow relu exécute ensuite un autre code ? GitHub a annoncé les lockfiles de workflows en aperçu public le 14 octobre. Il faut désigner qui examine le commit puis sa prochaine mise à jour.
Vérifier la disponibilité
L’annonce corrigée cite GitHub Enterprise Cloud, Enterprise Cloud avec résidence des données, Team et Free. Il s’agit d’un aperçu. Le dépôt officiel exclut GHES et prévient de changements avant 1.0. Notez date et version de l’extension.
Distinguer étiquette et approbation
L’extension produit .github/workflows/actions.lock avec les commits des actions, dépendances transitives et workflows réutilisables des workflows intégrés. Une référence déplacée ne modifie plus silencieusement le commit exécuté. Le code verrouillé n’est pas pour autant certifié sûr.
Commencer par un changement lisible
Notre proposition : un workflow de test sans secrets de production ni pouvoir de déploiement. Recensez références uses, responsables et objectif. Relisez ensemble workflow et lockfile, puis reliez la revue à l’exécution avant toute obligation générale.
Attribuer la maintenance
Le README décrit gh actions-lock --verify sans écriture. --verify-local contrôle la structure hors ligne, sans remplacer une vérification de confiance. Distinguez résultat CI et revue du code ; définissez responsable, arrêt et restauration. Rien n’a été installé pour cet article.
Selon l’annonce, Dependabot régénère l’entrée correspondante du lockfile dans la même PR lorsqu’il actualise une action intégrée. Même généré, le diff doit être examiné. Nous proposons de comparer référence, commit, permissions et communications externes du nouveau code.
La reproductibilité n’est pas un verdict de sécurité. Les retours communautaires cités ne prouvent ni baisse des incidents ni compatibilité universelle. Consultez le README actuel et attribuez explicitement revue, verrouillage et mise à jour.
Sources officielles
Vérifié le 15 octobre 2026 ; propositions opérationnelles séparées des fonctions annoncées.