Gerenciando Secrets e variáveis de ambiente

Os fluxos precisam de tokens e senhas para acessar registros e destinos na nuvem. Codificá-los diretamente expõe esses dados a qualquer pessoa com acesso ao repositório — é isso que os segredos impedem.

Você adiciona segredos nas configurações do repositório, da organização ou do ambiente. Eles são criptografados durante o armazenamento e disponibilizados aos fluxos de trabalho apenas como valores mascarados.

Faça referência a um segredo por meio do contexto secrets e passe-o para uma etapa como uma variável de ambiente ou entrada da ação. Aqui, ele fornece o valor para um script de implantação.

O GitHub oculta automaticamente os segredos nos registros como ***. Mesmo assim, nunca exiba nem persista um segredo — transformações como base64 podem escapar da máscara e expô-lo.

Para configurações não sensíveis, como uma região ou um sinalizador de compilação, use variáveis por meio do contexto vars. Elas ficam visíveis na interface, o que não é um problema quando nada é secreto.

Cada execução recebe um GITHUB_TOKEN automático para autenticar-se no repositório. Limite rigorosamente seu escopo com a chave permissions — aplique o princípio do privilégio mínimo.

Um ambiente, como staging ou production, agrupa segredos e adiciona regras de proteção — revisores obrigatórios, temporizadores de espera e limites de ramos — antes da execução de uma implantação.

Com um ambiente protegido, uma tarefa de implantação pausa até que um revisor designado aprove a execução — uma barreira humana deliberada antes da produção.

Os segredos nunca são passados para fluxos de trabalho provenientes de PRs bifurcados, portanto um colaborador não confiável não pode roubá-los. Projete a integração contínua para que PRs provenientes de bifurcações não precisem de segredos.

Trate todo segredo como substituível. Quando um deles vazar ou expirar, basta atualizá-lo nas configurações — a próxima execução usará o novo valor, sem nenhuma alteração no código.

O guia: segredos para valores sensíveis, variáveis para o restante, um GITHUB_TOKEN com escopo rigorosamente limitado, ambientes protegendo a produção e nunca registrar um segredo.

Segredo ou variável, mascarado ou visível — qual deve ser usado em cada caso?

Agora você pode gerenciar segredos e variáveis com segurança: armazená-los criptografados, lê-los por meio do contexto secrets, limitar o escopo do token e controlar as implantações por meio de ambientes.