gokapi-filelink : activer à la main les protections GitHub que propose gh-secure #31

New issue

Closed

opened 2026-10-11 10:06:46 +02:00 by mathieu · 1 comment

mathieu commented

2026-10-11 10:06:46 +02:00

Owner

Veille du 2026-10-10, lot A. GitHubSecurityLab/gh-secure est authentique (outil de l'équipe GitHub Security Lab, pas une fonction produit) et son code est sain : un script bash de gh api, --dry-run qui n'écrit rien. Verdict : ne pas installer l'extension (elle s'exécute avec le jeton gh et ses droits d'admin) pour un seul dépôt public ; reprendre ses réglages à la main sur gokapi-filelink, seul dépôt public.

Rapport complet : kb-mathieu/inbox/veille-captures-2026-10-10/A-gh-secure.md (§ « à la main » : les cinq interrupteurs et les appels gh api équivalents).

À retenir :

Utile : interdire force-push et suppression de main, signalement privé de vulnérabilités, push protection du secret scanning.
Sans objet tant que package.json n'a pas de dépendance : Dependabot. Optionnel : CodeQL par défaut.
Ne pas reprendre telle quelle la protection de branche de gh-secure : elle exige une revue approuvée avant fusion, ce qui bloque un mainteneur seul.
Jamais sur les miroirs GitHub privés : leur push vient du NAS, le blocage du force-push pourrait le casser.
Préalable si passage par la CLI : le jeton gh du Trousseau est invalide (gh auth login, action de Mathieu). L'interface web suffit.
Réflexe à noter pour la garde de chaîne d'approvisionnement : gh extension install --pin <sha>.

Critères d'acceptation

Sur gokapi-filelink : force-push et suppression de main interdits, sans revue obligatoire
Signalement privé de vulnérabilités et push protection activés
Décision consignée sur CodeQL (activé ou non)
Aucun réglage appliqué aux miroirs GitHub privés

Migré de Kaneo le 2026-10-11 : ATE-28 du projet « Atelier », créée le 2026-10-10.

Veille du 2026-10-10, lot A. `GitHubSecurityLab/gh-secure` est authentique (outil de l'équipe GitHub Security Lab, pas une fonction produit) et son code est sain : un script bash de `gh api`, `--dry-run` qui n'écrit rien. Verdict : **ne pas installer l'extension** (elle s'exécute avec le jeton `gh` et ses droits d'admin) pour un seul dépôt public ; reprendre ses réglages à la main sur `gokapi-filelink`, seul dépôt public. Rapport complet : `kb-mathieu/inbox/veille-captures-2026-10-10/A-gh-secure.md` (§ « à la main » : les cinq interrupteurs et les appels `gh api` équivalents). À retenir : - Utile : interdire force-push et suppression de `main`, signalement privé de vulnérabilités, push protection du secret scanning. - Sans objet tant que `package.json` n'a pas de dépendance : Dependabot. Optionnel : CodeQL par défaut. - **Ne pas** reprendre telle quelle la protection de branche de gh-secure : elle exige une revue approuvée avant fusion, ce qui bloque un mainteneur seul. - Jamais sur les miroirs GitHub privés : leur push vient du NAS, le blocage du force-push pourrait le casser. - Préalable si passage par la CLI : le jeton `gh` du Trousseau est invalide (`gh auth login`, action de Mathieu). L'interface web suffit. - Réflexe à noter pour la garde de chaîne d'approvisionnement : `gh extension install --pin <sha>`. ## Critères d'acceptation - [ ] Sur `gokapi-filelink` : force-push et suppression de `main` interdits, sans revue obligatoire - [ ] Signalement privé de vulnérabilités et push protection activés - [ ] Décision consignée sur CodeQL (activé ou non) - [ ] Aucun réglage appliqué aux miroirs GitHub privés --- *Migré de Kaneo le 2026-10-11 : ATE-28 du projet « Atelier », créée le 2026-10-10.*

mathieu added the

labels

2026-10-11 10:06:46 +02:00

mathieu commented

2026-10-11 13:24:13 +02:00

Author

Owner

Copie de l'essai de migration Kaneo → Forgejo du 2026-10-11 (rendu validé avant la vraie migration). Le ticket réel est mathieu/atelier#25. Fermé comme doublon.

mathieu

2026-10-11 13:24:25 +02:00

closed this issue
added the
Reviewed
Duplicate
label

No milestone

No project

No assignees

1 participant

Notifications

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference

mathieu/essai-actions#31

No description provided.

Rows
Columns