Pin CI actions by SHA and harden backup and deploy workflows

.github/workflows/ci.yml

@@ -22,10 +22,13 @@ on:
 jobs:
   test:
     runs-on: ubuntu-latest
+    timeout-minutes: 30
     steps:
-      - uses: actions/checkout@v7
+      # Пины по SHA (аудит 06.10.2026): теги двигаются, SHA нет. Коммит справа —
+      # текущий Snapchat тега на дату пина.
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
 
-      - uses: actions/setup-python@v7
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with:
           python-version: "3.13"
 
@@ -38,7 +41,7 @@ jobs:
       - run: pytest -q
 
       # Deno-тесты прокси (proxy/proxy_test.ts — без внешних импортов, офлайн).
-      - uses: denoland/setup-deno@v2
+      - uses: denoland/setup-deno@22d081ff2d3a40755e97629de92e3bcbfa7cf2ed # v2
         with:
           deno-version: v2.x
 

.github/workflows/deploy-proxy.yml

@@ -38,8 +38,9 @@ jobs:
       && github.event.workflow_run.event == 'push'
       && github.event.workflow_run.head_repository.full_name == github.repository)
     runs-on: ubuntu-latest
+    timeout-minutes: 10
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           # Тот коммит, что проверялся CI (см. sync-to-hf.yml); при ручном
           # запуске — текущий main.
@@ -56,8 +57,14 @@ jobs:
         id: proxy_changed_ci
         if: github.event_name != 'workflow_dispatch'
         run: |
-          # Мержи в main — merge-коммиты: дифф с первым родителем показывает весь PR.
-          if git diff --name-only HEAD~1 HEAD | grep -q '^proxy/'; then
+          # Мержи — по базе слияния, а не HEAD~1: иначе мультикоммитные пуши
+          # в main проверяли бы только последний коммит.
+          if git rev-parse --verify HEAD^2 >/dev/null 2>&1; then
+            base="$(git merge-base HEAD^1 HEAD^2)"
+          else
+            base="HEAD~1"
+          fi
+          if git diff --name-only "$base" HEAD | grep -q '^proxy/'; then
             echo "changed=true" >> "$GITHUB_OUTPUT"
           else
             echo "changed=false" >> "$GITHUB_OUTPUT"
@@ -65,14 +72,14 @@ jobs:
 
       - name: Deploy to primary proxy
         if: steps.proxy_changed.outputs.changed == 'true' || steps.proxy_changed_ci.outputs.changed == 'true'
-        uses: denoland/deployctl@v1
+        uses: denoland/deployctl@35381c73621e1731268f80e51b54718d086f1e64 # v1
         with:
           project: ${{ secrets.DENO_PROXY_PROJECT }}
           entrypoint: proxy/proxy.ts
 
       - name: Deploy to fallback proxy
         if: steps.proxy_changed.outputs.changed == 'true' || steps.proxy_changed_ci.outputs.changed == 'true'
-        uses: denoland/deployctl@v1
+        uses: denoland/deployctl@35381c73621e1731268f80e51b54718d086f1e64 # v1
         with:
           project: ${{ secrets.DENO_PROXY_PROJECT_FALLBACK }}
           entrypoint: proxy/proxy.ts

.github/workflows/state-backup.yml

@@ -29,6 +29,7 @@ concurrency:
 jobs:
   backup:
     runs-on: ubuntu-latest
+    timeout-minutes: 15
     steps:
       - name: Fetch /export_state
         run: |
@@ -42,9 +43,18 @@ jobs:
           STATE_BACKUP_TOKEN: ${{ secrets.STATE_BACKUP_TOKEN }}
           STATE_BACKUP_REPO: ${{ secrets.STATE_BACKUP_REPO }}
         run: |
+          set -euo pipefail
+          # Приватность: бэкап только в приватный репозиторий, иначе стоп.
+          visibility="$(GH_TOKEN="${STATE_BACKUP_TOKEN}" gh repo view "${STATE_BACKUP_REPO}" --json visibility -q .visibility)"
+          if [ "${visibility}" != "PRIVATE" ]; then
+            echo "Refusing backup: ${STATE_BACKUP_REPO} is not PRIVATE (got: ${visibility})" >&2
+            exit 1
+          fi
           git config --global user.name "lumen-backup"
           git config --global user.email "lumen-backup@local"
-          git clone "https://x-access-token:${STATE_BACKUP_TOKEN}@github.com/${STATE_BACKUP_REPO}.git" backup-repo
+          # PAT не в URL клона, а в extraheader: иначе светится в remote -v и логах.
+          git -c "http.https://github.com/.extraheader=AUTHORIZATION: basic $(printf 'x-access-token:%s' "${STATE_BACKUP_TOKEN}" | base64 -w0)" \
+            clone "https://github.com/${STATE_BACKUP_REPO}.git" backup-repo
           cp export_state.json backup-repo/export_state.json
           cd backup-repo
           git add export_state.json

.github/workflows/sync-to-hf.yml

@@ -30,8 +30,9 @@ jobs:
       && github.event.workflow_run.event == 'push'
       && github.event.workflow_run.head_repository.full_name == github.repository
     runs-on: ubuntu-latest
+    timeout-minutes: 10
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           # Явно берём тот коммит, что проверялся CI (workflow_run сам по себе
           # не чекаутит его) — иначе можно было бы задеплоить более поздний,