Segurança do GitHub Actions: Melhores Práticas Após Dois Incidentes Graves

Ataques recentes ao GitHub Actions, incluindo um ataque à cadeia de suprimentos e uma invasão do tj-actions, destacam riscos significativos de segurança. Este guia oferece conselhos práticos para proteger seus fluxos de trabalho do GitHub Actions. Ele abrange a terminologia essencial, melhores práticas para configurar as definições em nível de organização e proteção de ramificações em nível de repositório, gerenciamento de segredos e escrita segura de fluxos de trabalho. Vulnerabilidades importantes, como a Execução de Pipeline Envenenado (PPE), são discutidas, juntamente com recomendações para minimizar o uso de ações de terceiros, controlar permissões e usar ferramentas para análise estática e aplicação de políticas.