Un scanner de CLI que comprueba si las organizaciones, los repositorios y los miembros de GitHub y GitLab tienen errores de configuración de seguridad y brechas de cumplimiento.
895+3 esta semana81GoApache-2.0Actualizado hace 2 meses
github/gh-actions-lock
Una extensión de GitHub CLI que fija cada acción de tus workflows a un commit exacto y verifica el lockfile en CI.
- Estrellas
- 300
- Forks
- 22
- Issues abiertos
- 33
- Último commit
- anteayer
¿Qué es?
gh-actions-lock es una extensión de GitHub CLI que genera y comprueba un lockfile para las dependencias de GitHub Actions. Resuelve todas las acciones directas y transitivas referenciadas en tus workflows y registra el commit exacto al que apunta cada una en .github/workflows/actions.lock, para evitar que un tag o una rama que cambien modifiquen silenciosamente lo que ejecuta tu CI.
La herramienta ofrece varios modos: fix, que crea o actualiza el lockfile; relock, que actualiza referencias flotantes como main o v4 para que apunten a los commits actuales del repositorio de origen; verify, para CI, que realiza las mismas comprobaciones que fix; y verify-local, un modo sin conexión para hooks pre-commit que confirma que cada línea uses: tenga una entrada en el lockfile. Es compatible con github.com y GitHub Enterprise Cloud con residencia de datos, pero no con GitHub Enterprise Server.
El proyecto documenta limitaciones conocidas, entre ellas que no fija workflows reutilizables llamados desde otros repositorios ni imágenes de contenedor sin digest, y que no sigue las acciones locales ./.
Funciones clave
- 01Fija las acciones de GitHub directas y transitivas a commits exactos en actions.lock.
- 02Ofrece un modo verify para CI y un modo verify-local sin conexión para comprobaciones pre-commit.
- 03Permite actualizar referencias flotantes como main o v4 para que apunten a los commits actuales del repositorio de origen.
- 04Es compatible con github.com y GitHub Enterprise Cloud con residencia de datos.
- 05Genera resultados legibles por máquina con --json.
Casos de uso
- Fijar las versiones de las acciones de un repositorio para que CI use commits revisados.
- Añadir un paso de verificación del lockfile a las comprobaciones de pull requests.
- Comprobar sin conexión la cobertura antes de confirmar cambios en los workflows.
Inicio rápido
- 1
Instala la extensión de GitHub CLI
gh extension install github/gh-actions-lock - 2
Desde la copia local de tu repositorio, fija todas las acciones y escribe el archivo de bloqueo
gh actions-lock - 3
Prepara el directorio del flujo de trabajo para incluir el archivo de bloqueo en el control de versiones
git add .github/workflows/
Antes de usarlo
- Requiere una gh CLI autenticada.
- GitHub Enterprise Server no es compatible.
- Los flujos de trabajo reutilizables invocados desde otro repositorio no se bloquean.
- Las imágenes de contenedor sin un digest @sha256 generan advertencias y no se bloquean.
En colecciones
Temas
#github-actions#supply-chain-security#dependency-pinning#lockfile#cli#devops#gh-extension#go#security
Preguntas frecuentes
- ¿Qué es gh-actions-lock?
- Una extensión de GitHub CLI que fija cada acción de tus workflows a un commit exacto y verifica el lockfile en CI. gh-actions-lock es una extensión de GitHub CLI que genera y comprueba un lockfile para las dependencias de GitHub Actions. Resuelve todas las acciones directas y transitivas referenciadas en tus workflows y registra el commit exacto al que apunta cada una en .github/workflows/actions.lock, para evitar que un tag o una rama que cambien modifiquen silenciosamente lo que ejecuta tu CI.
- ¿gh-actions-lock es gratuito? ¿Qué licencia tiene?
- gh-actions-lock es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
- ¿gh-actions-lock sigue mantenido?
- Mantenimiento activo. El último commit de gh-actions-lock fue el 6 nov 2026.
- ¿Para qué puedo usar gh-actions-lock?
- Fijar las versiones de las acciones de un repositorio para que CI use commits revisados. Añadir un paso de verificación del lockfile a las comprobaciones de pull requests. Comprobar sin conexión la cobertura antes de confirmar cambios en los workflows.
- ¿Cómo se instala gh-actions-lock?
- Instala la extensión de GitHub CLI: gh extension install github/gh-actions-lock Desde la copia local de tu repositorio, fija todas las acciones y escribe el archivo de bloqueo: gh actions-lock Prepara el directorio del flujo de trabajo para incluir el archivo de bloqueo en el control de versiones: git add .github/workflows/
- ¿Dónde consigo gh-actions-lock?
- El código fuente y las instrucciones de instalación están en GitHub: https://github.com/github/gh-actions-lock
Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.
Proyectos relacionados
CLI en Go que analiza las dependencias de un proyecto y las imágenes de contenedor frente a la base de datos de vulnerabilidades OSV para detectar vulnerabilidades conocidas.
11,4 mil+103 esta semana845GoApache-2.0Bien mantenidoActualizado hace 20 horas
Una CLI que fija GitHub Actions y workflows reutilizables a SHA completos de commits, y puede actualizar y verificar los comentarios de versión.
1,3 mil+4 esta semana43GoMITActualizado anteayer
Gestor de secretos y variables de entorno de código abierto con panel web, CLI y sincronización con GitHub Actions.
462+3 esta semana43TypeScriptApache-2.0Bien mantenidoActualizado anteayer
Agente de seguridad para CI/CD en runners de GitHub Actions que supervisa el tráfico de red saliente, las escrituras de archivos y la actividad de procesos para detectar ataques a la cadena de suministro.
1,3 mil+3 esta semana126TypeScriptApache-2.0Actualizado hace 23 horas
Un manifiesto de lanzamiento firmado que permite a instaladores y gestores de paquetes verificar y elegir el binario adecuado para cada host.
198+13 esta semana5RustMITBien mantenidoActualizado ayer