GitHub a publié une série de changements en octobre 2026 qui touchent directement les équipes de développement : des fichiers de verrouillage pour GitHub Actions (lockfiles, en préversion publique depuis le 14 octobre), la disponibilité générale des pull requests empilées (6 octobre), une rétention étendue des résultats de CI, la fin des runners macOS 14 et un calendrier serré de retrait des modèles d’IA de Copilot. Tour d’horizon de ce qu’il faut vérifier dans vos dépôts.
Actions : un fichier de verrouillage pour vos dépendances
C’est le changement le plus important pour la sécurité de la chaîne logicielle. Quand un workflow utilise actions/checkout@v4, l’étiquette v4 peut être déplacée après que vous avez relu le workflow : une exécution ultérieure peut alors lancer un code différent. Si l’étiquette est détournée par un attaquant, votre CI exécute son code.
Les lockfiles de workflow règlent ce problème à la manière d’un package-lock.json :
- le fichier
.github/workflows/actions.lockenregistre le commit exact de chaque action utilisée ; - il couvre aussi les dépendances transitives des actions et les workflows réutilisables ;
- une fois un workflow intégré, chaque dépendance doit figurer dans le lockfile, et Actions exécute le commit enregistré même si l’étiquette ou la branche a bougé ;
- Dependabot régénère l’entrée correspondante du lockfile dans la même pull request quand il propose une nouvelle version d’action.
Le fichier se génère avec l’extension gh actions-lock de la ligne de commande GitHub, qui sait aussi vérifier, en CI, que le lockfile est à jour sans rien modifier. Les administrateurs peuvent activer une stratégie « Require lockfile » au niveau de l’entreprise, de l’organisation ou du dépôt.
GitHub le rappelle : verrouiller une dépendance ne prouve pas qu’elle est saine. Il faut toujours relire les actions avant de les verrouiller. La préversion est ouverte aux offres Free, Team et Enterprise Cloud.
À faire : testez sur un dépôt sensible (celui qui publie ou déploie), workflow par workflow. En attendant, l’épinglage manuel des actions par empreinte de commit (SHA) reste la bonne pratique.
Les pull requests empilées en disponibilité générale
Depuis le 6 octobre 2026, les pull requests empilées (stacked pull requests) sont disponibles sur toutes les offres github.com. Le principe : découper un gros changement en une pile de petites pull requests dépendantes, relues séparément, puis fusionnées ensemble. GitHub indique que les dépôts qui les utilisent fusionnent 9 % de code en plus que des dépôts comparables.
Les points pratiques :
- l’action « Rebase stack » conserve les approbations sur le code inchangé, même si le dépôt invalide les approbations obsolètes ;
- les commits rebasés restent signés quand les règles de branche l’exigent ;
- une pile entre et sort de la file de fusion (merge queue) comme un seul groupe ;
- si la branche de base d’une pile est supprimée, la pile est reciblée au lieu d’être fermée ;
- l’extension
gh stackgère désormais les worktrees Git.
La fonction arrivera dans une prochaine version de GitHub Enterprise Server.
Rétention : les résultats de CI suivent la même règle que les logs
GitHub a annoncé le 1er octobre 2026 que les checks, exécutions de workflow et statuts suivent désormais le même réglage de rétention que les artefacts et les journaux d’Actions. Une fois la durée dépassée, ces enregistrements sont supprimés automatiquement, y compris ceux créés par des applications tierces. Pour les dépôts publics, la durée maximale est de 90 jours.
À faire : vérifiez la durée de rétention de vos dépôts. Si vous avez besoin de conserver une trace des exécutions (audit, qualité, obligations contractuelles), exportez-les ailleurs : GitHub précise qu’un changement de réglage ne restaure pas ce qui a déjà été supprimé.
Runners macOS 14 : retrait le 2 novembre 2026
GitHub a fixé au 2 novembre 2026 le retrait définitif des images macos-14, macos-14-large et macos-14-xlarge. Des coupures temporaires programmées (brownouts) étaient prévues tout au long d’octobre pour faire échouer volontairement les workflows concernés et les signaler. Il faut basculer runs-on vers macos-15, macos-latest (macOS 26) ou leurs variantes xlarge. Si vous compilez une application iOS ou macOS, testez votre build sur la nouvelle image : les versions de Xcode et des outils y diffèrent.
Copilot : des modèles retirés tous les mois
Les équipes qui utilisent GitHub Copilot doivent s’habituer à une rotation rapide des modèles :
| Date de retrait | Modèles retirés | Remplaçants suggérés |
|---|---|---|
| 2 octobre 2026 | Gemini 3.5 Flash, Gemini 3.6 Flash, Kimi K2.7 Code, Claude Opus 4.7 | Gemini 3.8 Flash, Kimi K3, Claude Opus 5.5 |
| 19 octobre 2026 | Gemini 3.7 Flash, GPT-5.5, GPT-5.4, GPT-5.4 mini, GPT-5 mini, Grok 4.5 | Gemini 3.8 Flash, GPT-5.6 Sol, GPT-5.6 Luna, Grok 4.6 |
| 16 novembre 2026 | Claude Opus 4.8, Claude Opus 5, GPT-5.6 Terra | Claude Opus 5.5, GPT-6.1 Sol ou GPT-6 Luna |
Pour Copilot Business et Enterprise, les remplaçants sont activés automatiquement, sauf si un administrateur a désactivé l’activation par défaut ou un modèle précis. Dans ce cas, il faut les activer à la main dans les stratégies de modèles.
À faire : ne codez pas en dur un nom de modèle dans vos scripts, extensions ou automatisations ; vérifiez chaque mois le changelog ; et si votre politique interne limite les modèles autorisés, prévoyez qui valide les nouveaux.
La checklist d’octobre
- Tester
gh actions-locksur les workflows qui déploient ou publient. - Essayer les pull requests empilées sur une fonctionnalité volumineuse.
- Revoir la durée de rétention d’Actions.
- Remplacer
macos-14dans tous lesruns-on. - Contrôler les stratégies de modèles Copilot.
Et si une manipulation Git tourne mal pendant ces essais, notre outil open source git-undo lit le reflog et propose la commande qui annule la dernière opération.
Sources
- GitHub Changelog, « GitHub Actions workflow lockfiles in public preview », 14 octobre 2026 : https://github.blog/changelog/2026-10-14-github-actions-workflow-lockfiles-in-public-preview/
- GitHub Changelog, « Stacked pull requests generally available », 6 octobre 2026 : https://github.blog/changelog/2026-10-06-stacked-pull-requests-generally-available/
- GitHub Changelog, « Actions retention now covers checks, runs, and statuses », 1er octobre 2026 : https://github.blog/changelog/2026-10-01-actions-retention-now-covers-checks-runs-and-statuses/
- GitHub Changelog, « GitHub Actions: macOS 14 runner image retirement », 1er octobre 2026 : https://github.blog/changelog/2026-10-01-github-actions-macos-14-runner-image-retirement/
- GitHub Changelog, « Upcoming deprecation of selected GitHub Copilot models in mid-October », 18 septembre 2026 : https://github.blog/changelog/2026-09-18-upcoming-deprecation-of-selected-github-copilot-models-in-mid-october/
- GitHub Changelog, « Upcoming deprecation of selected GitHub Copilot models in mid-November », 15 octobre 2026 : https://github.blog/changelog/2026-10-15-upcoming-deprecation-of-selected-github-copilot-models-in-mid-november/
- GitHub Changelog, « Selected models in GitHub Copilot deprecated », 2 octobre 2026 : https://github.blog/changelog/2026-10-02-selected-models-in-github-copilot-deprecated/
