Terceros fijados por huella y plantillas de GitLab

Una acción de GitHub puede referirse por rama, por etiqueta o por la huella completa de un commit. Una rama avanza con cada cambio; una etiqueta la puede mover quien controle el repositorio de la acción, o quien lo comprometa. La documentación oficial es explícita: fijar la acción a la huella completa del commit es hoy la única forma de usarla como una versión inmutable, y organizaciones y repositorios pueden exigirlo con una política.

Los componentes y plantillas de GitLab siguen la misma lógica. La documentación de componentes recomienda fijarlos a un SHA de commit (lo preferible) o a una etiqueta de versión, y desaconseja ~latest, que se resuelve a lo último publicado en cada ejecución.

El riesgo de una acción de terceros no es el mismo en todos los flujos. La acción que corre en un trabajo sin secretos y con un token de lectura puede hacer poco daño; la que recibe credenciales de publicación y se refiere por una rama puede cambiar en cualquier momento y llevarse esas credenciales. Cruza el tipo de referencia con la columna de secretos.

En GitLab, include:project trae un archivo de otro proyecto de la misma instancia y admite ref con una rama, una etiqueta o un commit. include:component trae un componente con @versión. include:remote descarga el archivo por HTTP(S) desde cualquier servidor: el pipeline depende de que ese servidor responda y de que su contenido sea el esperado en cada ejecución. La documentación recomienda include:project cuando el archivo está en la misma instancia, para no hacer peticiones externas.

Para dar el estado del inventario al equipo hay que contar solo lo que de verdad no se mueve: huellas de commit en GitHub y SHA de commit en GitLab. Las etiquetas, las ramas, las versiones parciales y los include sin versión no cuentan, aunque hoy apunten a algo correcto.

Fijar por huella tiene un costo: la huella no se actualiza sola, y una acción vieja acumula vulnerabilidades. La práctica sana no es volver a la etiqueta móvil sino automatizar la actualización con propuestas que una persona revisa, por ejemplo con Dependabot, que admite el ecosistema de GitHub Actions.