GitHub Actions / CI/CD ハードニングガイド

CI は「リリース鍵置き場」。権限・固定・静的解析で守る。

ワークフロー

• GitHub Actions の uses をコミット SHA で固定する（pinact） — @ftnext
• pull_request_target とキャッシュポイズニングの危険を潰す — @t6adev

権限設計

• GitHub アカウント 1 つの侵害で本番まで行かれない CD 権限設計 — @poly_soft

自動スキャン

• Semgrep＋gitleaks（＋secretlint）の二段構えを全リポジトリに入れる — @matsuu

侵害時

• GhostAction 系「偽セキュリティ監査」ワークフローが混入したときの初動 — @SocketSecurity