GitHub, Aralık 2'den itibaren pull_request_target'ı kapatıyor

GitHub Actions'da bir güvenlik kararı alındı: Aralık 2, 2026'dan itibaren kamu depolarındaki `pull_request_target` olayları varsayılan olarak engellenmek üzere ayarlanacak. Bunu bilmeyenler için açıklayalım, bu olay, çekme isteklerinin açıldığı repo'nun bağlamında çalışan workflow'lar için tasarlanmış. Sorun şu: eğer bu workflow fork'tan gelen kod checkout ederse, kötü niyetli bir katkıcı senin repo'nun gizli bilgilerine (token'lar, API anahtarları) erişebilir.

GitHub'ın bu kararı mantıklı. `pull_request_target` genellikle forklanan depolardaki PR'lara etiket eklemek veya CI çalıştırmak gibi işler için kullanılır, bu durumlarda normal `pull_request` olayı yeterli değildir çünkü fork'tan gelen token'ın yazma izni yoktur. Ama birisi `actions/checkout@v4` ile kodu checkout edip sonra dış bir sisteme gönderirse, her şey tehlikeye girebilir.

Zaman çizelgesi önemli: Aralık 2'ye kadar workflow'lar "değerlendir modu"nda çalışacak, yani bloke edilecekler listelenecek ama gerçekten durmazlar. Araya iki "brownout" (simülasyon) günü konmuş, böylece hazırlık yapabilirsin. Aralık 2'den sonra, `pull_request_target`'ı kullanan public repo'lardaki workflow'lar, Actions event policy açıkça izin vermediği sürece çalışmayacak.

Senin repo'nda `pull_request_target` varsa şimdi kontrol et. Eğer gerçekten gerekiyorsa (örneğin PR'lara etiket eklemek), policy kuralını ayarla. Ama çoğu durumda normal `pull_request` + `permissions: read-only` ile yetinebilirsin. Fork'tan gelen kodu checkout etmek gerekiyorsa, bunu ayrı bir workflow'da güvenli bir şekilde yap, örneğin PR'ın başında değil, onay sonrasında.