fix(ci): begränsa gitleaks i security-workflowen (bara införda commits på PR/push, fullhistorik nattligt) #36

Merged

admin merged 1 commits from fix/security-gitleaks-bounded-20261111 into main

2026-11-11 16:21:33 +00:00

Author	SHA1	Message	Date
Claude Code	68b258b4c1	fix(ci): begränsa gitleaks i security-workflowen masterplan-lock / check (pull_request) Successful in 6s Details security / scan (pull_request) Failing after 1m14s Details Samma riktade ändring som den kanoniska mallen (admin/siax-templates#205): fullhistorikskanningen (`git log -p --full-history --all`) körde på varje PR och push utan tidsgräns och kunde äta en delad runner-värd i timmar. - PR/push: blockerande "gitleaks commit range" över bara de införda commitarna (git-läge, --log-opts base..head, max 500 med varning). - Fullhistorik bara på schedule/workflow_dispatch med 40 min budget. - timeout-minutes på scan-jobbet, CPU/minne-tak och --redact på gitleaks-containrarna, kvarlämnade containrar dödas. Workflow-namn, job-id, runs-on och övriga steg är oförändrade, så krävda kontexter påverkas inte. Ändringen är maskinellt kontrollerad (YAML, bash -n per steg, invarianter för jobb, runs-on och stegordning). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-11-11 12:41:54 +01:00

Author

SHA1

Message

Date

Claude Code

68b258b4c1

fix(ci): begränsa gitleaks i security-workflowen

masterplan-lock / check (pull_request) Successful in 6s

Details

security / scan (pull_request) Failing after 1m14s

Details

Samma riktade ändring som den kanoniska mallen (admin/siax-templates#205):
fullhistorikskanningen (`git log -p --full-history --all`) körde på varje PR
och push utan tidsgräns och kunde äta en delad runner-värd i timmar.

- PR/push: blockerande "gitleaks commit range" över bara de införda
  commitarna (git-läge, --log-opts base..head, max 500 med varning).
- Fullhistorik bara på schedule/workflow_dispatch med 40 min budget.
- timeout-minutes på scan-jobbet, CPU/minne-tak och --redact på
  gitleaks-containrarna, kvarlämnade containrar dödas.

Workflow-namn, job-id, runs-on och övriga steg är oförändrade, så krävda
kontexter påverkas inte. Ändringen är maskinellt kontrollerad (YAML,
bash -n per steg, invarianter för jobb, runs-on och stegordning).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-11-11 12:41:54 +01:00