Secrets en omgevingsvariabelen beheren

Verwijs naar een geheim via de context secrets en geef het vervolgens als omgevingsvariabele of actie-invoer door aan een stap. Hier levert het de invoer voor een implementatiescript.

GitHub maskeert geheimen in logboeken automatisch als ***. Toch mag je een geheim nooit afdrukken of bewaren — bewerkingen zoals base64 kunnen de maskering omzeilen en het geheim lekken.

Gebruik voor niet-gevoelige configuratie, zoals een regio of buildvlag, variabelen via de context vars. Ze zijn zichtbaar in de gebruikersinterface, wat prima is als niets geheim is.

Elke uitvoering krijgt automatisch een GITHUB_TOKEN om zich bij de repository te authenticeren. Beperk het bereik ervan strikt met de sleutel permissions — geef alleen de minimaal benodigde rechten.

Een omgeving zoals acceptatie of productie groepeert geheimen en voegt beveiligingsregels toe — verplichte beoordelaars, wachttimers en branchbeperkingen — voordat een implementatie wordt uitgevoerd.

In een beveiligde omgeving pauzeert een implementatietaak totdat een aangewezen beoordelaar goedkeuring geeft — een bewuste menselijke controle vóór productie.

Geheimen worden nooit doorgegeven aan werkstromen vanuit PR's van forks, zodat een niet-vertrouwde bijdrager ze niet kan stelen. Ontwerp CI zo dat PR's vanuit forks geen geheimen nodig hebben.

Ga ervan uit dat elk geheim roteerbaar is. Wanneer een geheim lekt of verloopt, werk je het eenvoudig bij in de instellingen — de volgende uitvoering gebruikt de nieuwe waarde, zonder codewijzigingen.

Het draaiboek: geheimen voor gevoelige waarden, variabelen voor de rest, een strikt beperkt bereik voor GITHUB_TOKEN, omgevingen die productie bewaken, en nooit een geheim in logboeken registreren.

Je kunt geheimen en variabelen nu veilig beheren: versleuteld opslaan, ze lezen via de context secrets, het bereik van het token beperken en implementaties achter omgevingen laten wachten op goedkeuring.