Como é que o GitHub Actions garante a segurança e acede a dados secretos ocultos, como chaves e tokens?

O GitHub Actions garante a segurança dos dados secretos através do mecanismo "Secrets" — variáveis de ambiente especiais que são armazenadas de forma encriptada e estão disponíveis apenas durante a execução do workflow. O acesso a elas é restrito: não aparecem nos logs, e não é possível obter seus valores diretamente do código.

Ao iniciar o workflow, os segredos são automaticamente inseridos no ambiente, e as ações (actions) podem usá-los, por exemplo, para autenticação ou acesso à API. Para evitar vazamentos, o GitHub proíbe a exibição de segredos nos logs e restringe o acesso apenas a workflows e branches confiáveis.

Exemplo de uso de um segredo em um workflow:

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v2
      - name: Use secret
        run: echo "${{ secrets.MY_SECRET }}"

Aqui, MY_SECRET é um segredo configurado nas configurações do repositório.