GitHub · Échéance vérifiée
GitHub Actions bloque par défaut pull_request_target dans les dépôts publics le 2 décembre 2026
- Échéance
- État de la documentation
- Preuve
- Source primaire
Ne pas perdre cette date
Ajouter l’échéance au calendrier
La date est enregistrée comme une journée entière. La fiche reste la source à consulter en cas de report.
Mécanisme & impact
Ce que GitHub change le 2 décembre 2026
Le 2 novembre 2026, GitHub a annoncé qu'à partir du 2 décembre 2026, GitHub Actions bloque par défaut les événements pull_request_target dans tous les dépôts publics. Une politique d'événements Actions applicable peut seule les autoriser explicitement. L'application était prévue le 2 novembre 2026 avant d'être reportée au 2 décembre 2026. GitHub introduit cette règle par les protections d'exécution des workflows, qui fonctionnent d'abord en mode évaluation et signalent les exécutions qu'elle bloquerait sans encore les bloquer.
pull_request_target s'exécute dans le contexte du dépôt de base et accède à ses secrets. Du code non fiable venu d'un fork pourrait compromettre le pipeline ou voler ces secrets. Le changement vise les dépôts publics sur GitHub Free, GitHub Team et GitHub Enterprise Cloud, pas GitHub Enterprise Server. Les dépôts privés et internes ne sont pas concernés.
Deux fenêtres d'essai précèdent l'application permanente : le 9 novembre 2026 et le 16 novembre 2026, chacune de 16h00 à 18h00 UTC. Pendant chaque fenêtre, une tentative bloquée par la règle produit une exécution en échec avec une annotation d'erreur, sans exécuter le workflow. Après chaque fenêtre, la règle repasse en mode évaluation et n'affiche plus que des avertissements, jusqu'à l'application permanente du 2 décembre 2026.
À partir du 2 décembre 2026, tout workflow déclenché par pull_request_target dans un dépôt public cesse de s'exécuter, sauf politique d'événements Actions l'autorisant explicitement. Sont concernés les contrôles, étiquetages, commentaires automatiques et déploiements qui reposent sur ce déclencheur. GitHub recommande de consulter Insights avant la première fenêtre du 9 novembre 2026 pour repérer les exécutions que la règle bloquerait.
Plan d’action
Contrôles à mener avant le 2 décembre 2026
5 contrôles
- 01Recensement
Recenser les workflows déclenchés par pull_request_target
Rechercher le déclencheur pull_request_target dans les fichiers de workflow de chaque dépôt public, workflows réutilisables compris. Rattacher chaque occurrence à un responsable identifié.
- 02Qualification
Qualifier le rôle de chaque workflow
Pour chaque workflow recensé, consigner sa fonction (contrôle, étiquetage, commentaire, déploiement) et l'effet d'une absence d'exécution après le 2 décembre 2026.
- 03Décision
Décider entre politique d'autorisation et abandon du déclencheur
Avant le 2 décembre 2026, décider pour chaque workflow s'il est autorisé par une politique d'événements Actions explicite ou s'il doit cesser d'utiliser pull_request_target. Consigner la décision, sa date et son motif.
- 04Fenêtres d'essai
Vérifier le comportement pendant les deux fenêtres d'essai
Le 9 novembre 2026 et le 16 novembre 2026, de 16h00 à 18h00 UTC, vérifier que le comportement observé sur chaque workflow correspond à la décision prise. Après chaque fenêtre, la règle repasse en mode évaluation et n'affiche plus que des avertissements.
- 05Contrôle final
Contrôler avant le 2 décembre que la politique est en place
Avant le 2 décembre 2026, vérifier sur chaque dépôt public recensé que la politique d'événements Actions décidée est en place et cible bien le fichier de workflow concerné. Vérifier aussi qu'aucun workflow abandonné n'est plus attendu par une équipe.
Registre des révisions
Historique de cette échéance
Création et vérification sur la documentation primaire.