Detecte erros de workflow e brechas de segurança antes de fazer push.

Duas coisas ao mesmo tempo. Primeiro, ele analisa o YAML do seu workflow e reporta erros de sintaxe, indentação incorreta e falhas estruturais — as coisas que fazem uma execução falhar antes que um único passo seja executado. Segundo, e mais importante, ele roda um conjunto de verificações de configurações de segurança incorretas que os linters comuns deixam passar: o padrão "pwn request" de pull_request_target + checkout, a injeção de scripts por meio de expressões ${{ github.* }} não confiáveis, ações de terceiros fixadas em uma tag mutável em vez de em um SHA de commit, e permissões amplas demais como write-all. Você recebe erros e padrões perigosos em uma única passada.

Não. O validador roda 100% no lado do cliente. O YAML do seu workflow é analisado dentro da aba do seu navegador: nada é enviado para um servidor, e não há conta nem cadastro. Você pode colar com segurança workflows internos ou proprietários, inclusive os que têm nomes de secrets e labels de runners privados.

O actionlint é excelente em sintaxe, tipagem de expressões e integração com o shellcheck — e você deve continuar usando-o. Mas os erros que de fato acabam comprometendo repositórios são os de segurança: rodar código não confiável com um token privilegiado, interpolar texto controlado por um atacante diretamente em um shell, ou puxar uma ação de terceiros por uma tag que o autor pode mover silenciosamente. Esta ferramenta foca nessas configurações de segurança incorretas, valida também o YAML e não precisa instalar nada.

Um workflow disparado por pull_request_target roda no contexto do repositório base — com acesso aos seus secrets e a um GITHUB_TOKEN de leitura/escrita — mas pode ser disparado por um pull request de qualquer fork. Se esse workflow também fizer checkout do head do PR (actions/checkout com a ref do PR) e então compilar, testar ou rodar scripts a partir dele, o código do fork de um atacante é executado com os seus secrets. Esse é o clássico "pwn request". O validador sinaliza pull_request_target sempre que ele for combinado com um checkout de código não confiável do PR.

Quando você embute uma expressão como ${{ github.event.issue.title }} ou ${{ github.head_ref }} diretamente dentro de um bloco run:, o GitHub substitui o valor bruto, controlável por um atacante, dentro do seu script antes que o shell o analise. Um título como a"; rm -rf / # se torna executável. A solução é passar os valores não confiáveis por uma variável env: e referenciá-los como "$TITLE" para que o shell os trate como dados, nunca como código. O validador sinaliza as expressões do contexto github não confiáveis usadas dentro de passos run.

Uma referência como actions/checkout@v4 ou some-org/action@main aponta para uma tag ou branch que o mantenedor da ação — ou um atacante que comprometa a conta dele — pode mover para um código novo a qualquer momento, e esse código roda no seu pipeline com o seu token. Fixar em um SHA de commit completo de 40 caracteres (uses: actions/checkout@<sha>) torna a versão imutável. O validador sinaliza as ações de terceiros fixadas em uma tag ou branch mutável.

Não. Este validador é uma ferramenta independente e comunitária, e não é afiliada, endossada nem patrocinada pela GitHub, Inc. "GitHub" e "GitHub Actions" são usados aqui apenas de forma descritiva, para identificar o formato de workflow que a ferramenta verifica.

Cole o YAML do workflow em um validador baseado em navegador para detectar erros antes de fazer commit — sem instalar nada e sem precisar de push. Esta ferramenta roda o conjunto completo de verificações (estrutura YAML mais configurações de segurança incorretas) inteiramente no seu navegador, então você recebe feedback instantâneo sobre erros de sintaxe, runs-on faltando, nomes de trigger incorretos e padrões perigosos como ações não fixadas ou injeção de scripts antes que o workflow chegue ao GitHub.

Os problemas frequentes incluem um runs-on faltando em um job, um passo que especifica ao mesmo tempo uses e run, uma referência needs que aponta para um job que não existe, um nome de evento de trigger inválido e uma indentação YAML incorreta. O validador detecta cada um desses como erros estruturais com o número da linha onde o problema ocorre, para que você possa corrigi-los antes que a execução falhe no GitHub.

A maioria dos verificadores estáticos — actionlint, zizmor, action-validator — exige uma CLI ou uma toolchain de Rust/Go. Este validador é gratuito, não precisa de instalação nem cadastro, e roda inteiramente no seu navegador. Ele verifica tanto a validade do YAML quanto as configurações de segurança incorretas (ações não fixadas, injeção de templates, triggers perigosos, permissões de token amplas demais) que as ferramentas de CLI cobrem, sem nenhuma configuração local.