Faits vérifiés
- L’extension gh actions-lock génère .github/workflows/actions.lock avec actions, dépendances transitives et workflows réutilisables.
- L’adoption peut se faire workflow par workflow ; une fois intégré, chaque appel doit avoir une entrée et s’exécute sur le commit verrouillé.
- Une politique Require lockfile peut imposer le mécanisme ; Dependabot régénère les entrées lors des mises à jour. Free, Team et Enterprise Cloud, y compris avec résidence de données, sont couverts par la preview.
Ce qui change
La revue des commits devient durable même si les tags bougent ensuite.
Implication pratique
Piloter sur un workflow et ajouter une vérification des lockfiles obsolètes en CI.
Disponibilité
Belgique/EEE : aucune exclusion régionale explicite dans la source ; disponibilité à confirmer selon le compte, le plan et la région de service.
Limites et incertitudes
Verrouiller une dépendance empêche un tag mobile de changer le code exécuté ; cela ne prouve pas que le commit verrouillé soit sûr.