GitHub a annoncé le 14 octobre 2026 une préversion publique des fichiers de verrouillage pour GitHub Actions. L’objectif : conserver des références lisibles dans les workflows tout en exécutant les commits précisément enregistrés, même si un tag ou une branche change ensuite de cible.
Une préversion aussi accessible sur Free et Team
L’annonce officielle, corrigée le jour de sa publication, mentionne Enterprise Cloud, Enterprise Cloud avec résidence des données, Team et Free. Il ne s’agit donc pas d’une fonction réservée aux grandes entreprises.
L’adoption peut se faire workflow par workflow. Une politique Require lockfile, également en préversion, permet aux administrateurs d’imposer ce mécanisme. Pour les workflows déjà intégrés, les mises à jour de version proposées par Dependabot régénèrent l’entrée correspondante dans la même pull request.
Ce que contient le fichier
La documentation GitHub situe le fichier dans .github/workflows/actions.lock. Il est produit par l’extension GitHub CLI gh actions-lock et ne doit pas être modifié à la main.
Chaque dépendance conserve sa référence, son commit ainsi que les identifiants de son propriétaire et de son dépôt. GitHub utilise ces identifiants pour vérifier que le dépôt derrière le nom correspond toujours à celui qui a été verrouillé.
Une limite importante pour les workflows réutilisables
Le verrouillage couvre les actions transitives, mais les dépendances internes d’un workflow réutilisable relèvent du fichier du dépôt où ce workflow est défini. Le fichier du dépôt appelant ne couvre donc pas, à lui seul, toute cette chaîne.
Enfin, verrouiller une version ne prouve pas que son code est sûr. GitHub maintient la nécessité d’examiner les dépendances avant de les verrouiller. Cette nouveauté vise la cohérence des versions exécutées, pas une garantie contre tout code malveillant. Son fonctionnement reste susceptible d’évoluer pendant la préversion.
