Acciones y plugins de terceros

Referenciar una acción como @v1 o @main apunta a algo que su dueño puede mover: una etiqueta se puede reasignar a otro commit y una rama avanza con cada cambio. Si la cuenta del mantenedor se compromete, o simplemente cambia de manos, la siguiente ejecución de tu flujo corre código distinto sin que tú hayas tocado nada. La documentación de los CI habituales indica que fijar la acción a la huella completa del commit (el identificador de 40 caracteres hexadecimales) es la única forma de usarla como una versión inmutable.

Fijar no es desentenderse: la versión fijada hay que actualizarla con una revisión, no dejarla para siempre.

No todas las acciones sin fijar pesan igual. Se prioriza juntando tres señales: cuánto puede hacer el flujo donde corre, si la referencia se puede mover y si algo ha cambiado en su origen, como un cambio de propietario reciente o una racha de versiones nuevas. Una acción con etiqueta, dentro de un flujo con permisos amplios y cuyo propietario cambió hace semanas, es la candidata a corregir antes que las demás.

Cruza las dos tablas del inventario: usos y acciones.

Una métrica sencilla del inventario es la proporción de usos fijados por huella. Se cuenta uso por uso, no acción por acción: la misma acción puede estar fijada en un flujo y por etiqueta en otro, y eso es justo lo que el recuento deja ver. Es un número que se puede llevar al tablero y exigir que suba cada mes.

Cuenta los usos fijados por huella en el inventario.

La acción cardamomo/accion-pruebas la escribe la propia empresa, y por eso nadie la mira. Pero si un flujo la referencia por una rama, cualquier cambio fusionado en esa rama corre en el flujo al instante, antes de que nadie lo haya revisado como parte del flujo. Una acción propia tiene que tratarse con el mismo rigor que una de fuera: referencia fija y su propio control de revisión.

Corregir la acción prioritaria no consiste en quitarla a ciegas, porque el flujo de publicación la necesita. Se revisa qué cambió en su origen, se elige un commit concreto que se haya inspeccionado, se fija por su huella y se añade un proceso para actualizar esa huella con revisión. Y se baja el permiso del flujo de escritura total a lo mínimo, de modo que si la acción se desvía, tenga poco que tocar.