About Actions policies
Actions policies let you govern how GitHub Actions workflows run. You can configure them in the Policies section of your GitHub Actions settings (separate from the General settings).
Actions policies are available at the enterprise, organization, and repository levels. They currently contain one type of policy: workflow execution protections. GitHub plans to add more policies over time.
About workflow execution protections
Sobre as políticas do Actions
As políticas de ações permitem que você governe como GitHub Actions os fluxos de trabalho são executados em suas organizações e repositórios. Você configura as políticas de Ações em uma nova seção Políticas de suas GitHub Actions configurações, separadas das configurações gerais existentes.
As políticas de ações estão disponíveis nos níveis corporativo, organizacional e repositório.
Atualmente, as políticas de ações contêm um tipo de política: proteções de execução de fluxo de trabalho. GitHub planeja adicionar mais políticas ao longo do tempo.
Sobre proteções de execução de fluxo de trabalho
As proteções de execução de fluxo de trabalho permitem definir uma lista de permissões que controla quem pode disparar GitHub Actions fluxos de trabalho e quais eventos têm permissão para executá-los. As proteções de execução de fluxo de trabalho vêm com dois tipos de regra: evento e ator. GitHub planeja adicionar mais regras ao longo do tempo.
As proteções de execução de fluxo de trabalho se baseiam na estrutura de conjuntos de regras GitHub, portanto, a segmentação que você já conhece dos conjuntos de regras também se aplica aqui. Você pode aplicar proteções usando conjuntos de regras e defini-las para repositórios específicos usando propriedades personalizadas do repositório. Para obter mais informações sobre os conjuntos de regras, confira Sobre os conjuntos de regras. These protections can disrupt several real-world attack patterns:
- Poisoned pipeline execution from pull requests. Restrict or prohibit
pull_request_target, including in public repositories where it is most often exploited. - Manual-trigger abuse. Limit
workflow_dispatchso untrusted identities cannot start workflows. - Untrusted-actor execution. Block low-trust identities from triggering workflows entirely.
- Misconfiguration exploitation. Apply central policy that overrides any single misconfigured workflow file.
When enforced, disallowed workflow runs will fail with an error. For example:
Event 'workflow_dispatch' is not allowed to trigger Actions workflows. Workflow file: '.github/workflows/0-welcome.yml'.
Observação
GitHub has added a default policy that will block the pull_request_target event in public repositories. This policy will be enforced on November 2, 2026. See Uso seguro de pull_request_target.
Available rules
- Actor rules control who can trigger workflows, including individual users, repository roles, GitHub Apps, Copilot, and Dependabot. By default, every user with write access to a repository can trigger workflows. Actor rules let you separate who contributes code from who runs your CI, so you can grant a contributor write access without granting them the ability to execute workflows.
- Event rules control which events are permitted, such as
push,pull_request,pull_request_target, andworkflow_dispatch.
GitHub plans to add more rules over time.
Next steps
To configure workflow execution protections, see Controlling who can execute GitHub Actions workflows.
To manage policies programmatically, see REST API endpoints for GitHub Actions policies.