Un workflow GitHub Actions nécessite un secret de 256 Ko qui doit être accessible uniquement au workflow et avec une surcharge administrative minimale. Quelle approche recommandez-vous ?

L'approche correcte consiste à chiffrer le secret de 256 Ko, à stocker le texte chiffré directement dans le dépôt, et à conserver la clé de déchiffrement dans les secrets GitHub au niveau du dépôt. GitHub Actions a une limite de taille pour les secrets (généralement 64 Ko), ce qui rend impossible de stocker un secret de 256 Ko directement. En chiffrant le secret et en stockant la clé de déchiffrement (qui est petite) dans les secrets GitHub, on contourne la limite de taille tout en maintenant la sécurité. La clé de déchiffrement étant stockée au niveau du dépôt, elle est accessible uniquement aux workflows de ce dépôt, minimisant ainsi la surcharge administrative et l'étendue des accès. Stocker le secret directement dans les secrets GitHub (au niveau du dépôt ou de l'organisation) est incorrect en raison de la limite de taille. Chiffrer le secret et stocker la clé de déchiffrement au niveau de l'organisation serait moins sécurisé car cela donnerait accès à la clé à tous les dépôts de l'organisation, ce qui n'est pas nécessaire si le secret est spécifique à un workflow.