社内用GitHub Actionsのセキュリティガイドラインを公開します | メルカリエンジニアリング
この記事は、Merpay Tech Openness Month 2023 の4日目の記事です。 こんにちは。メルコインのバックエンドエンジニアの@goroです。 はじめに このGitHub Actionsのセキュリティガイドラインは、社内でGithub Actionsの利用に先駆け、社内有志によって検討されました。「GitHub Actionsを使うにあたりどういった点に留意すれば最低限の安全性を確保できるか学習してもらいたい」「定期的に本ドキュメントを見返してもらい自分たちのリポジトリーが安全な状態になっているか点検する際に役立ててもらいたい」という思いに基づいて作成されています。 今回はそんなガイドラインの一部を、社外の方々にも役立つと思い公開することにしました。 ガイドラインにおける目標 このガイドラインは事前に2段階の目標を設定して作成されています。まず第1に「常に達成したいこと
継続的WEBセキュリティテストサービス VAddy - 株式会社ビットフォレスト
VAddy integrates with your existing CI tools and performs robust security checks — so your developers can code secure. How secure is your code? VAddy gives you insight into the security of your web apps — and easily hooks into your standard deployment process. Help your developers code securely With VAddy, there’s no need for your developers to be security experts. Easily discover vulnerabilities,
Travis CI から heroku にデプロイするのってセキュリティ的に問題ないのか調べた - おもしろwebサービス開発日記
Travis CI べんりですね。「テストが通ったらherokuにデプロイする」ということもできるようなのでやってみました。すでに Travis CI の基本の設定は済んでいる前提です。 gem i travis # travis gem を入れていなかったら cd YOUR_APP_PATH travis setup heroku とすると、アプリケーションルートにある.travis.yml に必要な設定を追記してくれます。これをコミットしてプッシュするだけ。とても簡単でした。 でも少し気になることがありました。 疑問1 ここでは heroku のトークンを暗号化したものを.travis.ymlに記述しているようです。github に公開して、別の誰かにトークンを複合されたりしないでしょうか？ 回答1 公開鍵で暗号化されていて、秘密鍵はtravisが保持しているのでとりあえず大丈夫そう。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
