SoftwareO GitHub Actions agora consegue executar as mesmas versões exatas das ações de CI que a equipe revisou, mesmo quando uma tag como @v3 muda depois. Os lockfiles de workflow chegaram à disponibilidade geral em 28 de outubro de 2026, nos planos Free, Team e Enterprise Cloud.
Isso importa porque workflows participam da entrega do site ou aplicativo. Se uma ação usada no deploy trocar de código sob uma tag que continua igual, uma execução futura pode rodar algo que ninguém revisou naquele projeto. O lockfile registra os commits exatos das ações e também das dependências que elas chamam.
O que muda nos workflows
A equipe instala a extensão gh actions-lock para a CLI do GitHub e gera o arquivo .github/workflows/actions.lock. Os arquivos de workflow continuam legíveis, com referências conhecidas como actions/checkout@v4; na execução, o Actions usa os commits registrados no lockfile.
A adoção pode ser gradual: é possível ativar o recurso workflow por workflow. Depois, quando o Dependabot atualiza uma ação, ele também atualiza a entrada correspondente no lockfile no mesmo pull request. Administradores ainda podem exigir o arquivo por política e verificar se está desatualizado em uma etapa de CI.
O que a proteção cobre — e o que não cobre
O lockfile ajuda a evitar que uma referência móvel execute código diferente sem uma mudança revisada no repositório. Também torna alterações nas dependências do pipeline mais visíveis no controle de versão. Para times que publicam um app ou site por GitHub Actions, isso reduz um ponto cego entre aprovar uma configuração e executá-la.
Mas fixar código não significa que ele seja confiável ou seguro: a equipe ainda precisa revisar atualizações antes de aceitá-las. A documentação do GitHub sobre lockfiles delimita o alcance: chamadas para workflows reutilizáveis em outro repositório e imagens de contêiner não entram no lockfile de ações. Workflows reutilizáveis devem ser referenciados por SHA completo; imagens precisam de digest @sha256 quando a equipe quer fixá-las. Segredos, parâmetros e a imagem do runner também não são congelados pelo recurso.
Como começar sem travar a entrega
Comece pelos workflows que fazem build, publicam versões ou acessam ambientes de produção. Gere o lockfile, revise o diff junto com o YAML e inclua-o no repositório. Depois, adicione uma verificação para detectar entradas ausentes ou antigas. A extensão permite validar o arquivo sem modificá-lo.
A disponibilidade geral dá a equipes de qualquer tamanho uma forma nativa de controlar uma parte das dependências de CI. Não substitui revisão de código, atualização responsável nem outros controles da cadeia de software: torna mais previsível qual código de ação foi aprovado e executado.
GitHub Actions
Símbolo oficial do GitHub, apresentado como apoio visual; a imagem de capa é uma ilustração editorial, não uma captura de tela real.
