No point creating conventions without automation
Field feedback from the community
GitHub Actions : “Good Intentions Don’t Work, Mechanisms Do”
François-Guillaume Ribreau
Before applying the principle
L’approche reposait sur des intentions : encourager les développeurs à utiliser des actions Github sécurisées, sans les y contraindre.
Aucune vérification n’était imposée sur le type d’action utilisée, ni sur la présence d’un hash ou d’une provenance approuvée.
Des actions référencées par tag mutable passaient en production sans alerte, exposant les workflows à des modifications silencieuses.
L’absence de mécanisme technique ouvrait la porte à des erreurs humaines systématiques.
After applying the principle
Les intentions ont été remplacées par des mécanismes applicables (e.g. github-actions-scanner) à chaque commit ou merge.
L’usage d’actions GitHub est désormais encadré par des règles techniques : seul le hash-pinning est autorisé, les actions doivent provenir d’une allowlist, et tout écart déclenche un blocage automatique du pipeline.
La politique de sécurité est codée dans l’infrastructure CI elle-même, plus dans des documents internes ou des pratiques implicites.
Le système est fiable parce qu’il ne dépend plus des intentions individuelles.
And you, what’s your field feedback?
If your feedback is validated, it will soon be published on the site.
Other principles
Same vein — click, bounce around.
- Constrain first, relax later Development
- Put the most constraints upfront Development
- Naming should be boring Development
- Steer the future structurally Development
- Prefer declarative over imperative Development
- Prefer explicit over implicit Development
- It all comes from the same book. Discover the book →
