Compatibilité des 20 actions Marketplace les plus utilisées

La plupart des actions Marketplace fonctionnent sur fremforge sans modification, car les runners fremforge récupèrent le code des actions via des miroirs Forgejo (pull-mirrors), exploités par fremverk, des éditeurs d’origine sur GitHub. Le uses: actions/checkout@v4 d’un workflow se résout en https://frem.sh/actions/checkout, un miroir Forgejo de github.com/actions/checkout synchronisé avec l’amont toutes les 8 heures. Aucune exécution de workflow client n’atteint directement github.com : les runners ne voient jamais que la copie miroir conservée dans l’UE, conformément à l’engagement de l’annexe A.6 du DPA. L’environnement d’exécution Forgejo Actions expose les mêmes variables d’environnement que GitHub Actions (GITHUB_TOKEN, GITHUB_SHA, GITHUB_REF, GITHUB_API_URL, etc.), de sorte qu’une directive uses: actions/checkout@v4 passe par le miroir de façon transparente.

Éditeurs en amont disposant d’un miroir (au 2026-06-02)

Ces éditeurs GitHub disposent de miroirs Forgejo sur frem.sh et se résolvent sans problème depuis n’importe quel workflow client :

• actions/ : checkout, setup-node, setup-python, setup-go, setup-java, setup-dotnet, upload-artifact, download-artifact, cache
• docker/ : login-action, setup-buildx-action, build-push-action
• pnpm/ : action-setup
• step-security/ : harden-runner
• aws-actions/ : configure-aws-credentials
• azure/ : login
• google-github-actions/ : auth
• peter-evans/ : create-pull-request
• dorny/ : paths-filter, test-reporter
• softprops/ : action-gh-release
• sonarsource/ : sonarcloud-github-action

Si vous avez besoin d’une action d’un éditeur absent de cette liste, envoyez une demande de miroir. Nous ajoutons un nouveau miroir de github.com/<publisher>/<repo> et votre workflow s’exécute sans problème dès le déclenchement suivant. Les demandes de miroir aboutissent généralement en un jour ouvré. Les noms d’éditeurs réservés (aws-actions, azure, microsoft, sigstore, etc.) sont verrouillés d’avance au niveau des identités Forgejo, pour qu’aucune organisation cliente ne puisse les accaparer et injecter du code malveillant dans vos workflows.

Cette matrice couvre les 20 actions les plus téléchargées. Chaque entrée indique son niveau de vérification :

• Revue du code : évaluée à partir du code source de l’action et des retours de la communauté Forgejo ; pas encore exécutée sur un runner hébergé fremforge réel.
• Vérifiée sur runner : exécutée sur un vrai runner hébergé fremforge ; résultat confirmé en pratique.

Les entrées vérifiées sur runner arrivent au fil de la liste de contrôle bloquante du lancement de la phase 1.

Légende des états

• ✅ Fonctionne telle quelle : s’exécute sans changement ; les workflows se transposent sans modification.
• ⚠️ Fonctionne avec une remarque : s’exécute, mais un comportement précis diffère ou un prérequis doit être rempli. La remarque explique quoi faire.
• 🔧 Nécessite une adaptation : une petite enveloppe ou une action composite rétablit la compatibilité. Le code de l’enveloppe est fourni.
• ❌ Pas d’équivalent : dépend d’une infrastructure propre à GitHub et ne peut pas s’exécuter sur fremforge. Une alternative est recommandée.

Engagement de couverture

Les 20 actions les plus utilisées sur la GitHub Marketplace au moment du lancement. La liste est revue chaque trimestre ; une action qui sort du top 20 reste dans la matrice jusqu’à ce qu’un signal d’usage justifie son retrait.

Matrice de compatibilité

Configuration de la fédération OIDC

Les actions qui utilisent OIDC (azure/login, aws-actions/configure-aws-credentials, google-github-actions/auth) nécessitent une configuration ponctuelle pour enregistrer fremforge comme émetteur OIDC de confiance auprès du fournisseur cloud.

Point de terminaison de découverte OIDC de fremforge : https://frem.sh/_app/runner/oidc/.well-known/openid-configuration (un point de terminaison global unique pour toutes les organisations ; la revendication iss de chaque jeton émis par un runner vaut https://frem.sh/_app/runner/oidc). L’isolation de la confiance par organisation est assurée en fixant les conditions de la politique de confiance cloud sur la revendication JWT repository_owner, le modèle compatible GitHub Actions.

Les instructions complètes, étape par étape, pour Azure AD, AWS IAM et GCP Workload Identity se trouvent dans le guide d’intégration OIDC des runners.

Construction d’images de conteneurs

docker build et docker compose s’exécutent nativement sur le runner : docker/build-push-action et docker/setup-buildx-action fonctionnent sans changement (voir Images de runner pour le modèle de runner et la disponibilité de Docker). kaniko est préinstallé comme alternative sans démon lorsque vous voulez un démarrage à froid plus rapide ou une mise en cache des couches dans un registre distant :

- name: Build + push image (kaniko)
  run: |
    /usr/local/bin/kaniko \
      --context=$GITHUB_WORKSPACE \
      --dockerfile=Dockerfile \
      --destination=registry.example.com/$GITHUB_REPOSITORY:$GITHUB_SHA

Pour une simple copie, un nouveau tag ou un push d’image entre registres, l’outil préinstallé skopeo fonctionne sans démon Docker. Voir Image de runner pour le modèle complet.

Si vous trouvez une lacune

Si vous trouvez une action Marketplace qui devrait figurer dans le top 20 et dont nous n’avons pas indiqué la compatibilité, ou une action listée ici qui ne se comporte pas comme documenté, signalez-le à support@frem.sh avec un objet commençant par MARKETPLACE COMPAT -. Nous vérifierons et mettrons la matrice à jour.

Au-delà du top 20

La plupart des autres actions Marketplace fonctionnent tout simplement. Les exceptions sont les actions qui :

• S’appuient sur des points de terminaison internes de l’API GitHub (API Codespaces, API Copilot, API du registre de conteneurs GitHub Packages au-delà du push/pull OCI standard).
• Codent en dur l’URL de l’émetteur OIDC de GitHub (https://token.actions.githubusercontent.com) au lieu de lire ACTIONS_ID_TOKEN_REQUEST_URL.
• Exigent une authentification propre à GitHub au-delà de GITHUB_TOKEN.

Pour les actions non vérifiées hors du top 20 : essayez. La plupart fonctionnent. Signalez les rares qui ne fonctionnent pas ; nous fournirons une enveloppe ou documenterons la lacune dans les guides de migration.

Voir aussi

• Images de runner : les étiquettes de runner disponibles et l’image associée à chacune.
• Intégration OIDC des runners : configurer la confiance du fournisseur cloud pour les actions d’authentification basées sur OIDC.
• Guides de migration : comment les références aux actions Marketplace sont migrées lors d’un changement de plateforme.
• API REST publique : la surface de l’API fremforge pour les actions qui doivent rappeler la plateforme.