Un'azione di terze parti è un passaggio di automazione riutilizzabile usato in un flusso di lavoro CI/CD, ma mantenuto al di fuori del tuo repository. In sistemi come GitHub Actions, si comporta come codice di dipendenza eseguibile: quando un flusso di lavoro viene eseguito, può recuperare ed eseguire codice da un altro progetto, non solo script locali.
Questo è importante perché l'azione può essere eseguita con segreti del repository, credenziali di build e token del flusso di lavoro. Se l'azione a monte viene compromessa, ripubblicata o referenziata tramite un tag modificabile, la build successiva può eseguire codice non sicuro senza apportare modifiche al tuo repository. I difensori riducono questo rischio bloccando le azioni a un full commit SHA, limitando i permessi del flusso di lavoro, esaminando regolarmente le dipendenze e monitorando le modifiche a monte prima di fidarsi degli aggiornamenti.