#github actions

In vielen Pipelines gibt es genau einen Satz Zugangsdaten. Ein Deploy-Key, ein Cloud-Account, ein Datenbank-Passwort. Damit läuft der Build nach Staging, und damit läuft er nach Produktion. Das ist bequem, spart Einrichtung und funktioniert jahrelang problemlos. Bis zu dem Tag, an dem jemand Zugriff auf Staging bekommt und feststellt, dass Staging der Generalschlüssel für alles ist. Staging ist…

This blog post was created with the help of AI tools. I used them to organize ideas and write a first draft, but the workflow, the code, the testing, and the 🤖 enthusiasm are mine. Hi! I like reading AI news. I do not like opening seven tabs, comparing five versions of the same announcement, and wondering whether the most important developer update was hidden under an article about a robot…

Fast jeder GitHub-Actions-Workflow zieht fremden Code. actions/checkout@v4, docker/build-push-action@v6, dazu ein Dutzend kleinerer Helfer aus dem Marketplace. Bequem, aber jede dieser Zeilen ist eine Vertrauensentscheidung. Wer @v4 schreibt, sagt damit: ich fuehre aus, was hinter diesem Tag heute steht, und auch das, was morgen dahinter steht. Genau das ist das Problem. Ein Tag ist kein…

Wer GitHub Actions oder GitLab CI intensiv nutzt, stößt irgendwann auf die Grenze der gehosteten Runner: zu langsam, zu teuer bei hohem Volumen, kein Zugriff auf interne Systeme. Die Antwort heißt dann Self-hosted Runner. Was viele Teams dabei übersehen: Ein selbst betriebener Runner ist kein Werkzeug wie jedes andere. Er ist eine Maschine, auf der fremder Code mit euren Rechten läuft. Was ein…

Die meisten CI/CD-Pipelines laufen mit weit mehr Rechten, als sie für ihre Arbeit brauchen. Ein Job, der nur Tests ausführt, hat plötzlich Schreibzugriff auf das Repository, kann Releases anlegen und liest jedes Secret im Projekt. Niemand hat das so geplant. Es ist über die Zeit gewachsen, weil ein breiter Token einfacher war als ein passgenauer. Genau hier setzt Least Privilege an: Jeder Schritt…

Die meisten Deployment-Pipelines hängen an einem langlebigen Token. Ein Cloud-Schlüssel liegt als Secret im Repository, GitHub Actions liest ihn beim Build und schiebt damit Artefakte in AWS, Azure oder GCP. Das funktioniert, bis der Token leakt. Dann hat ein Angreifer dauerhaft Zugriff, oft monatelang unbemerkt. OIDC löst dieses Problem, indem es gespeicherte Tokens komplett überflüssig…

The DevSecOps Cloud Exit: Stop Paying for GitHub Actions

Are you tired of watching your CI/CD billing expand exponentially while your build times crawl on aging, shared cloud CPUs? Yeah, we were too.

Relying exclusively on proprietary infrastructure forces your engineering teams to tolerate unacceptable compilation delays just to maximize corporate profit margins. It's time to escape the cloud tax.

We just published a massive playbook on migrating your automated delivery pipelines to natively self-hosted ServerMO Bare Metal.

Here is the TL;DR on how to do it securely and incredibly fast:

Defeat the Docker Socket: Stop mounting /var/run/docker.sock to your runners! It's a massive vulnerability. We show you how to use OCI-compliant rootless tools like Kaniko instead.

Go Ephemeral: A persistent runner is a contaminated runner. Enforce strict single-execution teardowns (--ephemeral) to prevent state leakage and silent deployment failures.

True Local Caching: Stop downloading the same gigabytes of dependencies from cloud buckets every single run. We break down how to bypass network retrieval and point your cache directly to physical NVMe drives, turning 20-minute operations into 30-second deployments.

OIDC Auth Only: Hardcoded cloud passwords in your repo? Big yikes. Use dynamic OpenID Connect identity federation to request strictly scoped, temporary tokens.

GitHub Actions ist für viele kleine Softwarehäuser die zentrale Pipeline. Code landet im Repo, ein Workflow baut, testet und deployt. Das ist praktisch und genau deshalb gefährlich: Die Pipeline hat Zugriff auf Secrets, Cloud-Konten und Produktivumgebungen. Wer sie kompromittiert, braucht den Server nicht mehr anzugreifen. Hier sind fünf Schwachstellen, die in der Praxis immer wieder auftauchen,…