About Actions policies

About Actions policies

Actions policies let you govern how GitHub Actions workflows run. You can configure them in the Policies section of your GitHub Actions settings (separate from the General settings).

Actions policies are available at the enterprise, organization, and repository levels. They currently contain one type of policy: workflow execution protections. GitHub plans to add more policies over time.

About workflow execution protections

Información sobre las políticas de Actions

Las directivas de acciones permiten controlar cómo GitHub Actions se ejecutan los flujos de trabajo en las organizaciones y repositorios. Las directivas de acciones se configuran en una nueva sección Directivas de la GitHub Actions configuración, independiente de la configuración general existente.

Las directivas de acciones están disponibles en los niveles de empresa, organización y repositorio.

Las directivas de acciones contienen actualmente un tipo de directiva: protecciones de ejecución de flujo de trabajo. GitHub planea agregar más directivas a lo largo del tiempo.

Acerca de las protecciones de ejecución de flujo de trabajo

Las protecciones de ejecución de flujo de trabajo permiten definir una lista de permitidos que controla quién puede desencadenar GitHub Actions flujos de trabajo y qué eventos pueden ejecutarlos. Las protecciones de ejecución de flujo de trabajo incluyen dos tipos de reglas: evento y actor. GitHub planea agregar más reglas a lo largo del tiempo.

Las protecciones para la ejecución de flujos de trabajo se basan en el marco de conjuntos de reglas GitHub, por lo que la segmentación que ya conoces de los conjuntos de reglas también se aplica aquí. Puede aplicar protecciones con conjuntos de reglas y limitarlas a repositorios específicos mediante propiedades personalizadas del repositorio. Para obtener más información sobre los conjuntos de reglas, consulte Acerca de los conjuntos de reglas. These protections can disrupt several real-world attack patterns:

• Poisoned pipeline execution from pull requests. Restrict or prohibit pull_request_target, including in public repositories where it is most often exploited.
• Manual-trigger abuse. Limit workflow_dispatch so untrusted identities cannot start workflows.
• Untrusted-actor execution. Block low-trust identities from triggering workflows entirely.
• Misconfiguration exploitation. Apply central policy that overrides any single misconfigured workflow file.

When enforced, disallowed workflow runs will fail with an error. For example:

Event 'workflow_dispatch' is not allowed to trigger Actions workflows. Workflow file: '.github/workflows/0-welcome.yml'.

Available rules

• Actor rules control who can trigger workflows, including individual users, repository roles, GitHub Apps, Copilot, and Dependabot. By default, every user with write access to a repository can trigger workflows. Actor rules let you separate who contributes code from who runs your CI, so you can grant a contributor write access without granting them the ability to execute workflows.
• Event rules control which events are permitted, such as push, pull_request, pull_request_target, and workflow_dispatch.

GitHub plans to add more rules over time.

Next steps

To configure workflow execution protections, see Controlling who can execute GitHub Actions workflows.

To manage policies programmatically, see REST API endpoints for GitHub Actions policies.