[vitormattos]

Objetivo

Consolidar uma convenção verificável de referências de GitHub Actions na organização, sem criar novas ferramentas de atualização ou atrelar a política a versões fixas.

Alterações

• O verificador scripts/check_workflow_policy.py (já existente neste repositório) continua exigindo SHA completo de 40 caracteres em uses: e passa a exigir a anotação da versão real publicada pelo upstream: # vX.Y.Z, # X.Y.Z ou # vX.Y.
• Exceção controlada: actions internas sem tags de release exigem comentário de origem legível (por exemplo, # main at abcdef1), sem inventar versões. Actions relativas ./ permanecem dispensadas de SHA.
• As chamadas internas a LibreCodeCoop/release-tool receberam # v0.11.21, tag confirmada para o commit já usado; a chamada ao helper interno sem release foi anotada com origem.
• Adiciona 5 casos de teste ao verificador já existente (10 testes no total); o workflow de policy passa a executar esses testes antes da verificação.
• Explica o rollout seguro no documento de governança e diferencia exigir SHA completo no GitHub de exigir versão visível nos arquivos.

Auditoria organizacional de 23/10/2026

Consulta somente leitura dos diretórios .github/workflows nas branches padrão:

• LibreCodeCoop: 141 repositórios ativos; 968 referências uses: externas examinadas; 281 sem SHA completo.
• LibreSign: 42 ativos; 805 referências; 255 sem SHA completo.
• sha_pinning_required=false nas duas organizações.

Os valores incluem referências a workflows reutilizáveis e não representam necessariamente jobs que o GitHub bloquearia, mas demonstram dívida técnica extensa. Não ativar globalmente o controle agora, pois ações não migradas poderiam parar de funcionar.

Critérios para ativar globalmente

1. Corrigir via PR as referências móveis nos repositórios ativos, inclusive privados, sem divulgar nomes privados em issue pública.
2. Habilitar Dependabot github-actions nos consumidores relevantes.
3. Validar fluxos de PR, push, tags e dispatch (sem substituir versões na automação sem teste).
4. Habilitar a policy nativa Require actions to be pinned to a full-length commit SHA em cada organização somente depois da migração e validação.
5. Manter o comentário # versão validado por CI de cada consumidor ou required workflow centralizado; a policy nativa verifica SHA, não o comentário.

Esta mudança altera somente verificações e documentação da organização. Não modifica permissões nem configurações remotas das organizações.

Relacionado: SuiteCRM Docker PR #11 e Base de conhecimento PR #192.

Verificação local

python3 -m unittest tests.test_workflow_policy -v # 10 passed
python3 scripts/check_workflow_policy.py       # passed
git diff --check                               # passed