Detecta errores de workflow y agujeros de seguridad antes de hacer push.

Dos cosas a la vez. Primero, analiza el YAML de tu workflow y reporta errores de sintaxis, indentación incorrecta y fallos estructurales: las cosas que hacen que una ejecución falle antes de que se ejecute un solo paso. Segundo, y más importante, ejecuta un conjunto de comprobaciones de configuraciones de seguridad incorrectas que los linters habituales pasan por alto: el patrón «pwn request» de pull_request_target + checkout, la inyección de scripts a través de expresiones ${{ github.* }} no confiables, acciones de terceros ancladas a una etiqueta mutable en lugar de a un SHA de commit, y permisos demasiado amplios como write-all. Obtienes errores y patrones peligrosos en una sola pasada.

No. El validador se ejecuta 100% del lado del cliente. El YAML de tu workflow se analiza dentro de la pestaña de tu navegador: no se sube nada a un servidor, y no hay cuenta ni registro. Puedes pegar con seguridad workflows internos o propietarios, incluidos los que tienen nombres de secretos y etiquetas de runners privados.

actionlint es excelente en sintaxis, tipado de expresiones e integración con shellcheck, y deberías seguir usándolo. Pero los errores que de verdad terminan comprometiendo repositorios son los de seguridad: ejecutar código no confiable con un token privilegiado, interpolar texto controlado por un atacante directamente en un shell, o traer una acción de terceros mediante una etiqueta que su autor puede mover de forma silenciosa. Esta herramienta se centra en esas configuraciones de seguridad incorrectas, valida también el YAML y no necesita instalar nada.

Un workflow disparado por pull_request_target se ejecuta en el contexto del repositorio base, con acceso a sus secretos y a un GITHUB_TOKEN de lectura/escritura, pero puede ser disparado por un pull request desde cualquier fork. Si ese workflow además hace checkout del head del PR (actions/checkout con la ref del PR) y luego compila, prueba o ejecuta scripts a partir de él, el código del fork de un atacante se ejecuta con tus secretos. Ese es el clásico «pwn request». El validador señala pull_request_target siempre que se combine con un checkout de código no confiable del PR.

Cuando incrustas una expresión como ${{ github.event.issue.title }} o ${{ github.head_ref }} directamente dentro de un bloque run:, GitHub sustituye el valor en crudo, controlable por un atacante, dentro de tu script antes de que el shell lo analice. Un título como a"; rm -rf / # se vuelve ejecutable. La solución es pasar los valores no confiables a través de una variable env: y referenciarlos como "$TITLE" para que el shell los trate como datos, nunca como código. El validador señala las expresiones del contexto github no confiables usadas dentro de pasos run.

Una referencia como actions/checkout@v4 o some-org/action@main apunta a una etiqueta o rama que el mantenedor de la acción —o un atacante que comprometa su cuenta— puede mover a código nuevo en cualquier momento, y ese código se ejecuta en tu pipeline con tu token. Anclar a un SHA de commit completo de 40 caracteres (uses: actions/checkout@<sha>) hace que la versión sea inmutable. El validador señala las acciones de terceros ancladas a una etiqueta o rama mutable.

No. Este validador es una herramienta independiente y comunitaria, y no está afiliada, respaldada ni patrocinada por GitHub, Inc. «GitHub» y «GitHub Actions» se usan aquí solo de forma descriptiva, para identificar el formato de workflow que la herramienta comprueba.

Pega el YAML del workflow en un validador basado en navegador para detectar errores antes de hacer commit: sin instalar nada y sin necesidad de push. Esta herramienta ejecuta el conjunto completo de comprobaciones (estructura YAML más configuraciones de seguridad incorrectas) por completo en tu navegador, así que obtienes feedback instantáneo sobre errores de sintaxis, runs-on faltante, nombres de trigger incorrectos y patrones peligrosos como acciones sin anclar o inyección de scripts antes de que el workflow llegue a GitHub.

Los problemas frecuentes incluyen un runs-on faltante en un job, un paso que especifica a la vez uses y run, una referencia needs que apunta a un job que no existe, un nombre de evento trigger inválido y una indentación YAML incorrecta. El validador detecta cada uno de estos como errores estructurales con el número de línea donde ocurre el problema, para que puedas corregirlos antes de que la ejecución falle en GitHub.

La mayoría de los verificadores estáticos —actionlint, zizmor, action-validator— requieren una CLI o una toolchain de Rust/Go. Este validador es gratuito, no necesita instalación ni registro, y se ejecuta por completo en tu navegador. Comprueba tanto la validez del YAML como las configuraciones de seguridad incorrectas (acciones sin anclar, inyección de plantillas, triggers peligrosos, permisos de token demasiado amplios) que cubren las herramientas de CLI, sin ninguna configuración local.