Presentazione di Moat: Una revisione della sicurezza per il tuo account GitHub | Laravel - Lo stack pulito per Artisan e agenti

Abbiamo appena pubblicato Moat, un pacchetto che esamina la postura di sicurezza di un utente, un'organizzazione o un repository GitHub. Moat evidenzia le impostazioni non abilitate o non configurate in linea con le raccomandazioni comuni. Con un singolo comando, ottieni un report e un elenco di suggerimenti per migliorare la sicurezza del tuo GitHub.

Gli sviluppatori PHP e Laravel pubblicano la maggior parte del loro lavoro tramite GitHub. Tutto vive dietro lo stesso login: codice sorgente, release, deploy key, webhook, segreti e pipeline CI. Per gli sviluppatori di pacchetti, la posta in gioco è più alta perché ogni release taggata fluisce da un repository GitHub in Composer, e da Composer in migliaia di applicazioni che si fidano di qualunque byte arrivi dal cavo.

GitHub offre già una lunga lista di controlli per proteggere quella superficie, come l'applicazione della 2FA, la protezione dei branch, i commit firmati, la scansione dei segreti, gli avvisi di Dependabot, i permessi dei workflow, le azioni pinnate, e molti altri.

Il problema non è che questi controlli non esistano. Il problema è che sono sparsi in dozzine di pagine di impostazioni, a livello di utente, organizzazione, repository, branch e workflow. La maggior parte dei maintainer non li vede mai tutti in un unico posto, e quelli che contano di più sono di solito i più difficili da trovare. Ma non più.

Cosa verifica Moat

Moat ispeziona i controlli che GitHub già fornisce. Tra molti altri, copre:

• Autenticazione a due fattori
• Protezione dei branch
• Commit firmati
• Scansione dei segreti
• Protezione dei segreti durante il push
• Avvisi di Dependabot e aggiornamenti di sicurezza
• Release immutabili
• Approvazione delle pull request da fork
• Permessi dei workflow
• Azioni pinnate
• Uso improprio di pull_request_target
• Webhook del repository
• Collaboratori diretti
• Segnalazione privata delle vulnerabilità
• La presenza di un SECURITY.md

Ogni controllo è legato a un rischio concreto. L'obiettivo è rendere il modello che GitHub già offre più facile da verificare a colpo d'occhio.

Moat non è un certificato di sicurezza

Moat è uno strumento di revisione in sola lettura. Non modifica alcuna impostazione, non applica hardening ai tuoi repository, non previene intrusioni né ripara compromissioni. Evidenzia suggerimenti basati sulle impostazioni di sicurezza di GitHub; è tua responsabilità valutare ciascuno nel contesto del tuo progetto e decidere se applicarlo.

Un report pulito di Moat non certifica che un account sia sicuro, né un report con esito negativo significa che sia stato compromesso. Moat è una checklist, eseguita on demand, sulle impostazioni che GitHub espone.

Moat non è nemmeno un prodotto di sicurezza per la supply chain. Non scansiona le tue dipendenze, non esamina il tuo composer.lock né segue i pacchetti fino ai loro upstream.

Detto ciò, molti dei controlli che Moat verifica sono esattamente quelli che rendono più difficile per gli attacchi alla supply chain colpire il lato maintainer: le azioni pinnate eliminano la classe di compromissione che ha colpito tj-actions/changed-files nel 2025, le release immutabili impediscono che una versione taggata venga riscritta silenziosamente dopo la pubblicazione, i commit firmati rendono più rumoroso un token di sviluppatore rubato, e i permessi dei workflow limitati limitano ciò che un'azione di terze parti dirottata può fare una volta eseguita.

Per gli sviluppatori di pacchetti, questa è la differenza tra un incidente contenuto in un singolo repository e uno che si propaga a valle in ogni applicazione che ne dipende.

Utilizzo

Moat è un singolo binario. Puoi installarlo con Homebrew oppure scaricare un archivio precompilato dalla pagina delle release.

Moat risolve un token GitHub da GITHUB_TOKEN, GH_TOKEN o gh auth token (in quest'ordine). Se usi già la GitHub CLI, non c'è altro da configurare.

Se crei un personal access token per eseguire Moat, revocalo appena hai finito. I token che restano sul disco o nella cronologia della shell sono di per sé un rischio per la sicurezza, e Moat ha bisogno di accesso solo per la durata dell'esecuzione.

Alcuni controlli non si applicano a ogni progetto, e Moat legge un file moat.toml alla radice di ogni repository per permetterti di disattivare singoli controlli o dichiarare branch di release aggiuntivi. L'elenco completo delle opzioni è documentato su GitHub.

Un report, non un verdetto

L'output di Moat è pensato per essere letto. Ogni controllo spiega il rischio a cui è legato in una o due frasi, evidenziando la specifica modalità di guasto che l'impostazione è progettata per prevenire. La motivazione fa parte del report, così puoi decidere se vale la pena applicare il suggerimento al tuo progetto senza uscire dal terminale.

Alla fine del report, Moat stampa un punteggio di hardening insieme ai totali PASS / FAIL. È una lettura rapida di quanto l'account, l'organizzazione o il repository siano vicini a una postura completamente indurita.

Progettato per il workflow che hai già

Laravel ha sempre curato i dettagli che rendono lo sviluppo fluido: pagine di errore chiare, output della console espressivo, impostazioni predefinite ponderate e strumenti che ti aiutano a rimanere nel flow.

Gli strumenti di sicurezza meritano lo stesso tipo di attenzione. Moat mantiene la superficie ridotta, l'output leggibile e i suggerimenti specifici, così che rivedere la tua postura GitHub richieda un solo comando invece di un pomeriggio.

Puoi saperne di più su Moat su GitHub.