Como usar: Validador de Workflow do GitHub Actions
- Cole um arquivo de workflow, abra um arquivo ou carregue o exemplo.
- Erros de YAML são exibidos primeiro, com números de linha.
- Em seguida, são verificados triggers, jobs, steps,
needs, expressões, agendamentos cron e permissões. - As verificações de boas práticas sinalizam versões de actions desatualizadas, actions de terceiros sem fixação de versão, timeouts ausentes e riscos de injeção de script.
Erros comuns em workflows que esta ferramenta detecta
- Eventos ou chaves desconhecidos — erros de digitação como
pull-requestem vez depull_request, ourun-onem vez deruns-on. - Grafos de jobs quebrados —
needsapontando para um job que não existe, ou jobs que dependem uns dos outros em um ciclo. - Steps com ambos ou nenhum dos campos
useserun, e referências deusessem versão (@v4). - Expressões —
${{ }}desbalanceado, contextos desconhecidos e referências a outputs de steps que não existem. - Cron inválido — agendamentos devem ter cinco campos; a ferramenta explica quando eles rodam (em UTC).
- Comandos obsoletos como
::set-outpute::save-state, substituídos por$GITHUB_OUTPUTe$GITHUB_STATE.
Verificações de segurança
Usar ${{ github.event.pull_request.title }}, corpos de issues ou nomes de branches diretamente dentro de run: permite que qualquer pessoa que abra um pull request injete comandos de shell. Passe esses valores por uma variável de ambiente. O validador também sinaliza pull_request_target combinado com checkout do código do PR, permissions ausente (o token then recebe permissões amplas padrão) e actions de terceiros fixadas em uma tag mutável em vez de um SHA de commit.
Crie um novo workflow com o gerador de GitHub Actions, entenda agendamentos com o gerador de expressões cron e verifique outros YAMLs com o validador de YAML.
Também pesquisado como: validador github actions, linter github actions, validar workflow github, actionlint online, checker yaml workflow github, verificar sintaxe github actions.
Ferramentas que combinam com: Validador de Workflow do GitHub Actions
- Validador YAML Kubernetes — Cole Deployments, Services, Ingresses, ConfigMaps ou um arquivo inteiro com vários documentos.
- Cheat Sheet do Git — Todos os comandos do Git que você usa no dia a dia — e os que precisa quando algo dá errado — explicados em uma linha.
- Gerador de YAML Kubernetes — Preencha o nome, a imagem e a porta do seu app e receba YAML do Kubernetes pronto para produção: um Deployment com probes, limites de recursos e contexto de segurança reforçado, além do Service, do Ingress com TLS, do ConfigMap, do Secret e do HorizontalPodAutoscaler que você marcar, tudo em um arquivo pronto para kubectl apply.
- Gerador de systemd Service — Rode seu app como um serviço Linux de verdade, que inicia com o sistema e reinicia quando trava.
Perguntas frequentes
Isso é o mesmo que o actionlint?
Cobre muitas das mesmas verificações — sintaxe, grafo de jobs, expressões, cron, comandos obsoletos e riscos de injeção — e roda no seu navegador sem precisar instalar nada. Para forçar regras no CI, rode o actionlint também no seu pipeline.
A ferramenta valida workflows reutilizáveis e composite actions?
Workflows com
on: workflow_call e jobs que chamam workflows reutilizáveis (uses: no nível do job) são suportados. Arquivos action.yml de composite actions ainda não são verificados.Por que fixar actions em um SHA de commit?
Tags como
@v4 podem ser movidas pelo dono da action — ou por um atacante que a comprometa. Um SHA de commit completo não muda, então seu workflow executa exatamente o código que você revisou.Posso instalar o Validador de Workflow do GitHub Actions como um aplicativo da web e usá-lo offline?
Sim. O Validador de Workflow do GitHub Actions é um aplicativo da web instalável (PWA) — instalado a partir do seu navegador, não baixado de uma loja de aplicativos. Clique em “Instalar aplicativo” na parte superior desta página no Chrome ou no Edge (Windows, macOS, Linux, ChromeOS) ou, no Android, use “Compartilhar” → “Adicionar à tela inicial” no iPhone e no iPad, ou “Arquivo” → “Adicionar ao Dock” no Safari 17+ em um Mac. Em seguida, ela se abre em uma janela própria com seu próprio ícone e, como é executada inteiramente no seu navegador, continua funcionando offline. O Firefox no desktop não permite a instalação de aplicativos da web. Como funciona a instalação.