Action を SHA にピン留めする

タグは付け替えられる。Renovate の pinDigests で SHA へ変換できる。

  • #GitHub Actions
  • #Renovate

タグは付け替えられる。サードパーティ Action はコミット SHA に固定する。

Security hardening for GitHub Actions

yaml
- uses: actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683 # v4

#Renovate でタグから SHA へ

pinDigests で、タグ指定を SHA に変換する PR を出せる。自組織や actions/* は除外してよい。

json
{
  "packageRules": [
    {
      "matchDepTypes": ["action"],
      "matchPackageNames": ["!actions/{/,}**", "!me-or-my-orgs/{/,}**"],
      "pinDigests": true
    }
  ]
}

Dependabot に相当機能は無い。package-ecosystem: github-actions でバージョン更新はできるが、タグから SHA への変換はしない。先にピン留めしてあれば、SHA の更新自体は Dependabot でもできる。

既存ファイルの一括変換は pinact。

編集