Сторонние Actions закреплены SHA, права выданы по job, граница проверяется фикстурами

Три вещи, которые аудит 12.09 назвал в §10.

**Перемещаемые ссылки.** `home-assistant/actions/hassfest@master` и
`hacs/action@main` — это произвольный будущий коммит чужой ветки, а ревьюера с
Read/Write/Bash запускал перемещаемый major `anthropics/claude-code-action@v1`.
Все 116 `uses:` в девяти воркфлоу закреплены полным SHA с комментарием-версией;
`scripts/action-pins.mjs` это проверяет, а предполётный вердикт Validate —
исполняет. Локальная переиспользуемая workflow пина не требует и исключена
явно.

**Права.** Один блок `permissions` на весь конвейер выдавал `issues: write` и
OIDC каждой стадии, включая единственную недоверенную — работу модели. Теперь
права выдаются по job: модели только чтение и OIDC для самой
`claude-code-action`, писать в issue умеют детерминированные стадии.

**Граница.** Разбор запечатанного результата переехал из inline-shell в
`scripts/review-result-gate.mjs` — не ради красоты, а потому что в YAML его
нельзя прогнать ни одним отрицательным случаем. Проверяются те же вещи, что и
раньше, и в том же объёме: точный набор файлов, контрольные суммы, схема
паспорта и совпадение КАЖДОГО из семнадцати полей с тем, что посчитала
детерминированная стадия. Сверху — пятнадцать враждебных фикстур: неполный
набор, лишний файл, подменённое содержимое, чужой run и попытка, устаревший
material_sha и tree, чужие задача, этап, раунд и ветка, вердикт вне словаря,
пустой документ, manifest не о тех файлах, неразбираемый JSON.

Настоящих секретов и привилегированных операций фикстуры не трогают.

Issue: #556
User-Visible: no

.github/workflows/announce.yml

@@ -47,7 +47,7 @@ jobs:
     steps:
       - name: Check out release notes for a reusable call
         if: ${{ inputs.reusable == true }}
-        uses: actions/checkout@v7
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ inputs.ref }}
       - name: Send to Telegram

.github/workflows/docs-screenshots.yml

@@ -33,10 +33,10 @@ jobs:
     name: Съёмка и сверка скриншот-индекса
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ inputs.ref }}
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -45,7 +45,7 @@ jobs:
       # системные библиотеки Chromium уже в образе раннера.
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -145,7 +145,7 @@ jobs:
             echo "ВЕРДИКТ: ничего не изменилось, принимать нечего."
           fi
       - name: Upload candidate
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: docs-screenshots
           path: |

.github/workflows/mutation-gate.yml

@@ -53,7 +53,7 @@ jobs:
       tree: ${{ steps.identity.outputs.tree }}
       ref: ${{ steps.identity.outputs.ref }}
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ github.event_name == 'workflow_dispatch' && inputs.ref || 'dev' }}
           fetch-depth: 0
@@ -76,19 +76,19 @@ jobs:
     # Час — потолок против зависшего Chromium.
     timeout-minutes: 60
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ needs.material.outputs.sha }}
           fetch-depth: 0
 
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
 
       - run: npm ci
 
-      - uses: actions/setup-python@v7
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with:
           python-version: '3.14'
 
@@ -102,7 +102,7 @@ jobs:
 
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -138,7 +138,7 @@ jobs:
             --shard=${{ matrix.shard }} --shards=4
       - name: Сохранить лог и identity шарда
         if: always()
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: mutation-shard-${{ matrix.shard }}-attempt-${{ github.run_attempt }}
           path: artifacts/mutation-shard-${{ matrix.shard }}
@@ -153,16 +153,16 @@ jobs:
     if: always()
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           # CLI отчётчика принадлежит зафиксированному material. В main лежит
           # только workflow и может не быть dev-версии scripts/**.
           ref: ${{ needs.material.outputs.sha }}
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       - name: Забрать evidence всех попыток
-        uses: actions/download-artifact@v7
+        uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           pattern: mutation-shard-*
           path: artifacts/mutation-logs
@@ -191,17 +191,17 @@ jobs:
       actions: read
       issues: write
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           # Не перечитываем moving dev: код отчётчика берётся из уже
           # зафиксированного material. В стабильном main dev-скриптов нет.
           ref: ${{ needs.material.outputs.sha }}
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       - name: Забрать логи шардов
         continue-on-error: true
-        uses: actions/download-artifact@v7
+        uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           pattern: mutation-shard-*
           path: artifacts/mutation-logs

.github/workflows/performance.yml

@@ -45,7 +45,7 @@ jobs:
           - space-glow
     steps:
       - name: Check out candidate
-        uses: actions/checkout@v7
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           path: candidate
           fetch-depth: 2
@@ -131,12 +131,12 @@ jobs:
           echo "Comparison base: $sha ($source)" >> "$GITHUB_STEP_SUMMARY"
 
       - name: Check out base SHA
-        uses: actions/checkout@v7
+        uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ steps.base.outputs.sha }}
           path: baseline
 
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -150,7 +150,7 @@ jobs:
       # То же, что в validate.yml: кэш браузеров, apt не трогаем (#206).
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('candidate/package-lock.json') }}
@@ -267,7 +267,7 @@ jobs:
 
       - name: Upload full performance report
         if: always()
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: full-performance-${{ matrix.profile }}
           path: artifacts/performance

.github/workflows/process-reconcile.yml

@@ -28,12 +28,12 @@ jobs:
     steps:
       # Расписание читается из main, а исполняемый reconciler — из dev: так
       # после штатного merge действует та же версия кода, которую проверил CI.
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: dev
           fetch-depth: 1
           persist-credentials: false
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       - name: Сопоставить labels, requests, runs и sealed evidence
@@ -50,7 +50,7 @@ jobs:
             --output=artifacts/process-reconcile/summary.json
       - name: Опубликовать компактный machine-readable итог
         if: always()
-        uses: actions/upload-artifact@v4
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
         with:
           name: process-reconcile-${{ github.run_id }}-${{ github.run_attempt }}
           path: artifacts/process-reconcile/summary.json

.github/workflows/process.yml

@@ -29,16 +29,20 @@ on:
 # отменялся первой же посторонней меткой. Теперь посторонняя метка не запускает
 # ни одной job (`if` на guard) и в группу не входит.
 
+# #556: права выдаются по job, а не одной строкой на весь workflow. Общий блок
+# давал `issues: write` и OIDC даже той стадии, которая ничего не пишет, —
+# модели. Ниже минимум на каждую: писать в issue умеют только детерминированные
+# стадии, OIDC нужен исключительно `claude-code-action`.
 permissions:
   contents: read
-  issues: write
-  # Обязательно: claude-code-action получает OIDC-токен для авторизации
-  # GitHub App. Без этого прогон падает с «Could not fetch an OIDC token».
-  id-token: write
 
 jobs:
   guard:
     name: "Страж: ребейз на dev и предпосылки ревью"
+    # Читает и переставляет метки, комментирует отказ.
+    permissions:
+      contents: read
+      issues: write
     # Только статусные метки этапов ревью запускают конвейер (#499). Остальные
     # события помечаются skipped и не занимают место в группе concurrency.
     if: github.event.label.name == 'S4-spec-review' || github.event.label.name == 'S7-code-review'
@@ -56,7 +60,7 @@ jobs:
       # scripts/review-doc-guard.mjs — счёт раундов вынесен туда, потому что
       # inline-shell не покрывается тестами (#454). Node на раннере
       # предустановлен, setup-node не нужен.
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           fetch-depth: 1
           ref: dev
@@ -257,6 +261,10 @@ jobs:
 
   prepare:
     name: "Ревью: материал и deterministic gates"
+    # Ребейзит ветку задачи и комментирует возврат автору.
+    permissions:
+      contents: read
+      issues: write
     needs: guard
     if: needs.guard.outputs.stage != ''
     runs-on: ubuntu-latest
@@ -290,7 +298,7 @@ jobs:
         id: clock
         run: echo "started=$(date +%s)" >> "$GITHUB_OUTPUT"
 
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           fetch-depth: 0
           ref: dev
@@ -320,7 +328,7 @@ jobs:
       # кэша, платились из бюджета 45 минут и из лимитов подписки, а ходы модели
       # тратились на работу инфраструктуры. В validate.yml кэш стоит на всех
       # тяжёлых job, здесь его не было.
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -713,7 +721,7 @@ jobs:
 
       - name: Передать подтверждённый материал модели
         if: steps.gate.outputs.proceed == 'true' && steps.reuse.outputs.reuse != 'true'
-        uses: actions/upload-artifact@v4
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
         with:
           name: ${{ steps.prepared.outputs.artifact }}
           path: ${{ runner.temp }}/review-prepared
@@ -732,6 +740,13 @@ jobs:
 
   model_review:
     name: "Ревью: работа модели"
+    # Единственная недоверенная стадия: модель читает материал и кладёт
+    # запечатанный artifact. Писать в issue и в репозиторий ей незачем — это
+    # делает `integrate`, проверив происхождение. `id-token` нужен самой
+    # claude-code-action для авторизации GitHub App.
+    permissions:
+      contents: read
+      id-token: write
     needs: [guard, prepare]
     if: needs.prepare.outputs.proceed == 'true' && needs.prepare.outputs.reuse != 'true'
     runs-on: ubuntu-latest
@@ -748,19 +763,19 @@ jobs:
         id: clock
         run: echo "started=$(date +%s)" >> "$GITHUB_OUTPUT"
 
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           fetch-depth: 0
           ref: ${{ needs.prepare.outputs.material_sha }}
           persist-credentials: false
 
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
 
       - name: Получить контракт подготовленного материала
-        uses: actions/download-artifact@v4
+        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093 # v4
         with:
           name: review-prepared-${{ github.event.issue.number }}-${{ github.run_id }}-${{ github.run_attempt }}
           path: ${{ runner.temp }}/review-prepared
@@ -808,7 +823,7 @@ jobs:
       # но когда нужен — качать его заново дороже, чем держать в кэше.
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -846,7 +861,7 @@ jobs:
 
       - name: Review
         id: review
-        uses: anthropics/claude-code-action@v1
+        uses: anthropics/claude-code-action@9cdae7f0d995e3ba7c33f226087fdf82a59cd520 # v1
         env:
           # Вне рабочей копии: восстановление дерева ревьюером не должно
           # уничтожать его собственный артефакт (#220).
@@ -1097,7 +1112,7 @@ jobs:
           echo "artifact=review-result-${NUM}-${GITHUB_RUN_ID}-${GITHUB_RUN_ATTEMPT}" >> "$GITHUB_OUTPUT"
 
       - name: Передать результат интеграции
-        uses: actions/upload-artifact@v4
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
         with:
           name: ${{ steps.result.outputs.artifact }}
           path: ${{ runner.temp }}/review-result
@@ -1116,6 +1131,10 @@ jobs:
 
   integrate:
     name: "Ревью: публикация и интеграция"
+    # Публикует разбор, переставляет метку, сливает проверенный материал.
+    permissions:
+      contents: read
+      issues: write
     needs: [guard, prepare, model_review]
     if: always() && needs.guard.outputs.stage != ''
     runs-on: ubuntu-latest
@@ -1153,21 +1172,21 @@ jobs:
           fi
           echo "proceed=true" >> "$GITHUB_OUTPUT"
 
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         if: steps.ready.outputs.proceed == 'true'
         with:
           fetch-depth: 0
           ref: dev
           persist-credentials: false
 
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         if: steps.ready.outputs.proceed == 'true'
         with:
           node-version: 22
 
       - name: Получить результат модели
         if: steps.ready.outputs.proceed == 'true' && needs.prepare.outputs.reuse != 'true'
-        uses: actions/download-artifact@v4
+        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093 # v4
         with:
           name: review-result-${{ github.event.issue.number }}-${{ github.run_id }}-${{ github.run_attempt }}
           path: ${{ runner.temp }}/review-result
@@ -1175,8 +1194,14 @@ jobs:
       - name: Проверить полноту и происхождение результата
         id: result
         if: steps.ready.outputs.proceed == 'true' && needs.prepare.outputs.reuse != 'true'
+        # #556: единственное, что недоверенная стадия модели может передать
+        # дальше, — этот artifact, и принимается он как ввод противника: полный
+        # набор файлов, сходящиеся суммы, совпадение КАЖДОГО поля паспорта с
+        # тем, что посчитала детерминированная `prepare`. Проверка вынесена из
+        # inline-shell в `scripts/review-result-gate.mjs` ради враждебных
+        # фикстур — в YAML её нельзя прогнать ни одним отрицательным случаем.
         env:
-          NUM: ${{ github.event.issue.number }}
+          ISSUE: ${{ github.event.issue.number }}
           STAGE: ${{ needs.guard.outputs.stage }}
           CYCLE: ${{ needs.guard.outputs.cycle }}
           BRANCH: ${{ needs.prepare.outputs.branch }}
@@ -1192,27 +1217,9 @@ jobs:
           SPEC_BODY_DOC: ${{ needs.prepare.outputs.spec_body_doc }}
           SPEC_BODY_RECORDED: ${{ needs.prepare.outputs.spec_body_recorded }}
         run: |
+          set -euo pipefail
           dir="$RUNNER_TEMP/review-result"
-          expected=$(printf '%s\n' manifest.sha256 prepared.json review-document.md verdict.json | sort)
-          actual=$(find "$dir" -maxdepth 1 -type f -printf '%f\n' | sort)
-          test "$actual" = "$expected" || { echo "::error::неполный или неожиданный набор evidence"; printf 'ожидалось:\n%s\nполучено:\n%s\n' "$expected" "$actual"; exit 1; }
-          (cd "$dir" && sha256sum -c manifest.sha256)
-          test -s "$dir/review-document.md"
-          jq -e \
-            --arg run_id "$GITHUB_RUN_ID" --arg run_attempt "$GITHUB_RUN_ATTEMPT" \
-            --arg issue "$NUM" --arg stage "$STAGE" --arg cycle "$CYCLE" \
-            --arg branch "$BRANCH" --arg sha "$MATERIAL_SHA" --arg tree "$MATERIAL_TREE" \
-            --arg specs "$MATERIAL_SPECS" --arg body "$MATERIAL_ISSUE_BODY" \
-            --arg validate "$VALIDATE_RESULT" --arg validate_url "$VALIDATE_URL" \
-            --arg rebase_note "$REBASE_NOTE" --arg validated_note "$VALIDATED_NOTE" \
-            --arg spec_changed "$SPEC_BODY_CHANGED" --arg spec_doc "$SPEC_BODY_DOC" \
-            --arg spec_recorded "$SPEC_BODY_RECORDED" \
-            '.schema == 1 and .run_id == $run_id and .run_attempt == $run_attempt and .issue == $issue and .stage == $stage and .cycle == $cycle and .branch == $branch and .material_sha == $sha and .material_tree == $tree and .material_specs == $specs and .material_issue_body == $body and .validate_result == $validate and .validate_url == $validate_url and .rebase_note == $rebase_note and .validated_note == $validated_note and .spec_body_changed == $spec_changed and .spec_body_doc == $spec_doc and .spec_body_recorded == $spec_recorded' \
-            "$dir/prepared.json"
-          jq -e '
-            (.verdict == "green" or .verdict == "yellow" or .verdict == "red")
-            and (.high | type == "number") and (.medium | type == "number")
-            and (.summary | type == "string")' "$dir/verdict.json" >/dev/null
+          node scripts/review-result-gate.mjs --dir="$dir"
           printf 'structured_output<<EOF_RESULT\n' >> "$GITHUB_OUTPUT"
           cat "$dir/verdict.json" >> "$GITHUB_OUTPUT"
           # structured_output не обязан оканчиваться LF: delimiter команды

.github/workflows/publish-prerelease.yml

@@ -26,11 +26,11 @@ jobs:
       sha: ${{ steps.candidate.outputs.sha }}
       tag: ${{ steps.candidate.outputs.tag }}
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ github.sha }}
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
       - name: Pin the dev candidate or the existing annotated tag
         id: candidate
@@ -112,7 +112,7 @@ jobs:
               --output=release-membership/RELEASE-MEMBERSHIP.json
           fi
       - name: Preserve candidate membership for publication
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: release-membership
           path: release-membership/RELEASE-MEMBERSHIP.json
@@ -127,13 +127,13 @@ jobs:
       url: ${{ steps.verify.outputs.url }}
       newly_published: ${{ steps.release.outputs.newly_published }}
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ needs.gate.outputs.sha }}
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
-      - uses: actions/download-artifact@v7
+      - uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: release-membership
           path: release-assets
@@ -266,7 +266,7 @@ jobs:
           printf '### Published %s\n\n- exact SHA: `%s`\n- [GitHub prerelease](%s)\n\n```\n%s```\n' \
             "$TAG" "$SHA" "$URL" "$(cat public/SHA256SUMS)" >> "$GITHUB_STEP_SUMMARY"
       - name: Verify HACS prerelease discovery order
-        uses: actions/github-script@v9
+        uses: actions/github-script@3a2844b7e9c422d3c10d287c895573f7108da1b3 # v9
         env:
           EXPECTED_TAG: ${{ needs.gate.outputs.tag }}
         with:
@@ -298,13 +298,13 @@ jobs:
       # pipeline. A PAT here would build a cascade out of a bookkeeping step.
       issues: write
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ needs.gate.outputs.sha }}
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
-      - uses: actions/download-artifact@v7
+      - uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: release-membership
           path: release-membership

.github/workflows/release.yml

@@ -56,7 +56,7 @@ jobs:
       prerelease: ${{ steps.resolve.outputs.prerelease }}
       mode: ${{ steps.release.outputs.mode }}
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           fetch-depth: 0
       - name: Resolve the tag to its exact commit
@@ -136,11 +136,11 @@ jobs:
     needs: candidate
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ needs.candidate.outputs.sha }}
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
       # #479: тяжёлые job Validate идут только на коммите с трейлером `Release:`;
       # без него зелёный Validate — прогон без смоков и golden. Трейлер обязан
@@ -206,11 +206,11 @@ jobs:
     needs: [candidate, gate]
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ needs.candidate.outputs.sha }}
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
       - name: Build once and verify both installable assets
         id: build
@@ -248,12 +248,12 @@ jobs:
           npm run continuity:screencast
       - name: Upload failed continuity frames
         if: ${{ failure() && needs.candidate.outputs.prerelease != 'true' }}
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: continuity-screencast
           path: artifacts/continuity-screencast
       - name: Keep the passport for the publication step
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: release-assets-${{ needs.candidate.outputs.tag }}
           path: release-assets/SHA256SUMS
@@ -350,13 +350,13 @@ jobs:
       name: ${{ steps.verify.outputs.name }}
       newly_published: ${{ steps.flip.outputs.newly_published }}
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ needs.candidate.outputs.sha }}
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
-      - uses: actions/download-artifact@v7
+      - uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: release-assets-${{ needs.candidate.outputs.tag }}
           path: passport
@@ -447,7 +447,7 @@ jobs:
     runs-on: ubuntu-latest
     steps:
       - name: Verify the published tag is the prerelease HACS will discover
-        uses: actions/github-script@v9
+        uses: actions/github-script@3a2844b7e9c422d3c10d287c895573f7108da1b3 # v9
         env:
           EXPECTED_TAG: ${{ needs.candidate.outputs.tag }}
         with:

.github/workflows/validate.yml

@@ -65,9 +65,9 @@ jobs:
       # Коммиты и деревья скачиваются целиком, поэтому диапазоны и `merge-base`
       # работают как раньше. Единственная догрузка по требованию здесь —
       # `git show origin/main:.github/workflows/process.yml`: один блоб.
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with: { fetch-depth: 0, filter: 'blob:none' }
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
 
       # Свежесть скриншотов на обычном пуше — предупреждение, на кандидате беты
@@ -175,12 +175,22 @@ jobs:
       # Вердикт обязан быть громким и перечислять всё упавшее сразу: иначе
       # слияние job стоило бы автору лишнего круга «починил одно — узнал о
       # втором».
+      # #556: перемещаемая ссылка в `uses:` — доверие чужому владельцу тега
+      # здесь и сейчас, а не коду, который читали. Проверка стоит в preflight:
+      # она стоит миллисекунды и ловит правку, которая иначе доехала бы до
+      # привилегированной стадии.
+      - name: "Сторонние Actions закреплены полным SHA"
+        id: action_pins
+        continue-on-error: true
+        run: node scripts/action-pins.mjs
+
       - name: Вердикт предполётных проверок
         env:
           DOCS: ${{ steps.docs.outcome }}
           WORKFLOW_SYNC: ${{ steps.workflow_sync.outcome }}
           PROVENANCE: ${{ steps.provenance.outcome }}
           PROCESS_GATE: ${{ steps.process_gate.outcome }}
+          ACTION_PINS: ${{ steps.action_pins.outcome }}
         run: |
           fail=0
           check() {
@@ -197,6 +207,7 @@ jobs:
           check "process.yml и mutation-gate.yml в main и dev" "$WORKFLOW_SYNC"
           check "провенанс коммитов" "$PROVENANCE"
           check "процессный гейт" "$PROCESS_GATE"
+          check "пины сторонних Actions" "$ACTION_PINS"
           exit $fail
 
   # Классификация изменённых путей: тяжёлые job идут только там, где менялось
@@ -233,7 +244,7 @@ jobs:
     steps:
       # `git diff --name-only` содержимого файлов не читает вовсе, поэтому
       # блобы истории этой job не нужны ни на одном шаге (#345).
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with: { fetch-depth: 0, filter: 'blob:none' }
       # База диапазона — самый новый предок с УСПЕШНО завершённым Validate
       # (#387). Прежде бралась голова предыдущего пуша (`github.event.before`),
@@ -395,8 +406,8 @@ jobs:
       backend_source_attempt: ${{ steps.p_backend.outputs.source_attempt }}
       backend_source_sha: ${{ steps.p_backend.outputs.source_sha }}
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
       - name: Ключи переиспользования
         id: keys
@@ -420,7 +431,7 @@ jobs:
       # удаляется, чтобы один маркер не был принят за другой.
       - name: Маркер smoke
         id: m_smoke
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .reuse-marker
           key: reuse-smoke-${{ steps.keys.outputs.smoke }}
@@ -433,7 +444,7 @@ jobs:
         run: rm -f .reuse-marker
       - name: Маркер golden
         id: m_golden
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .reuse-marker
           key: reuse-golden-${{ steps.keys.outputs.golden }}
@@ -446,7 +457,7 @@ jobs:
         run: rm -f .reuse-marker
       - name: Маркер performance_smoke
         id: m_perf
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .reuse-marker
           key: reuse-performance_smoke-${{ steps.keys.outputs.performance_smoke }}-${{ steps.keys.outputs.performance_smoke_set }}
@@ -459,7 +470,7 @@ jobs:
         run: rm -f .reuse-marker
       - name: Маркер geometry_parity
         id: m_geometry_parity
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .reuse-marker
           key: reuse-geometry_parity-${{ steps.keys.outputs.geometry_parity }}
@@ -472,7 +483,7 @@ jobs:
         run: rm -f .reuse-marker
       - name: Маркер backend
         id: m_backend
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .reuse-marker
           key: reuse-backend-${{ steps.keys.outputs.backend }}
@@ -517,9 +528,9 @@ jobs:
     if: needs.changes.outputs.integration == 'true'
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
       - name: HACS validation
-        uses: hacs/action@main
+        uses: hacs/action@1ebf01c408f29afcb6406bd431bc98fd8cbb15aa # main@2026-09-13
         with:
           category: integration
 
@@ -529,9 +540,9 @@ jobs:
     if: needs.changes.outputs.integration == 'true'
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
       - name: Hassfest validation
-        uses: home-assistant/actions/hassfest@master
+        uses: home-assistant/actions/hassfest@58bff37c8947f690ace498be413a9b78d6f30f93 # master@2026-09-13
 
   # Мутанты по диффу (#475). Свидетель гниёт двумя способами: изменился
   # файл, который он патчит, либо изменился его гард. `--check` этого не
@@ -559,10 +570,10 @@ jobs:
     runs-on: ubuntu-latest
     timeout-minutes: 30
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -574,7 +585,7 @@ jobs:
       # Восстанавливается ДО плана (#518): план обязан видеть журнал, иначе
       # пропуск станет известен только после установки окружения.
       - name: Журнал свидетелей (последний по шарду)
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: artifacts/mutation-ledger
           # Cache immutable: rerun с тем же run_id обязан получить новый key,
@@ -624,7 +635,7 @@ jobs:
       - if: steps.plan.outputs.count != '0'
         run: npm ci
       - if: steps.plan.outputs.count != '0'
-        uses: actions/setup-python@v7
+        uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with:
           python-version: '3.14'
       - name: Backend test dependencies
@@ -633,7 +644,7 @@ jobs:
       - name: Кэш браузеров Playwright
         id: pw
         if: steps.plan.outputs.count != '0'
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -658,7 +669,7 @@ jobs:
       # попытку этого run либо самый новый журнал шарда.
       - name: Сохранить журнал свидетелей
         if: always()
-        uses: actions/cache/save@v6
+        uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: artifacts/mutation-ledger
           key: mutation-ledger-${{ matrix.shard }}-${{ github.run_id }}-${{ github.run_attempt }}
@@ -671,9 +682,9 @@ jobs:
     steps:
       # Полная история без блобов (#342): гейт «новый код не добавляет any»
       # diff-aware, ему нужен диапазон, а содержимое старых ревизий — нет.
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with: { fetch-depth: 0, filter: 'blob:none' }
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -731,7 +742,7 @@ jobs:
       # сверяет вшитый в бандл отпечаток с `sourceFingerprint` выкачанного
       # дерева, и каждая браузерная job делает это перед первым кадром.
       - name: Выложить бандл для браузерных job
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: card-bundle
           path: dist/
@@ -741,7 +752,7 @@ jobs:
       # скомпилированного тестового дерева. Оно создаётся `npm test`, но не
       # входит в production-бандл и потому едет отдельным артефактом (#336).
       - name: Выложить тестовые модули для смоков
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: card-test-build
           path: test-build/
@@ -763,8 +774,8 @@ jobs:
       matrix:
         shard: [1, 2, 3]
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -776,7 +787,7 @@ jobs:
       # внятной ошибкой — тогда флаг вернуть.
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -787,12 +798,12 @@ jobs:
       # один раз на прогон. Свежесть проверяет сам продукт — `assertFreshDemoBundle`
       # сверяет вшитый отпечаток с исходниками этого дерева.
       - name: Забрать собранный бандл
-        uses: actions/download-artifact@v7
+        uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: card-bundle
           path: dist
       - name: Забрать тестовые модули
-        uses: actions/download-artifact@v7
+        uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: card-test-build
           path: test-build
@@ -846,7 +857,7 @@ jobs:
           exit $fail
       - name: Upload smoke logs
         if: failure()
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: smoke-logs-${{ matrix.shard }}
           path: /tmp/smoke-logs
@@ -866,7 +877,7 @@ jobs:
             "прогон: ${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}" \
             "попытка: ${{ github.run_attempt }}" \
             > .reuse-marker
-      - uses: actions/cache/save@v6
+      - uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         # Гонка двух прогонов с одинаковым ключом даёт «Cache already exists».
         # Это не отказ гейта: работа выполнена, маркер уже записал сосед — job
         # краснеть из-за этого не должна.
@@ -883,8 +894,8 @@ jobs:
     if: needs.changes.outputs.heavy == 'true' && needs.reuse.outputs.golden != 'true'
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -896,7 +907,7 @@ jobs:
       # внятной ошибкой — тогда флаг вернуть.
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -907,7 +918,7 @@ jobs:
       # один раз на прогон. Свежесть проверяет сам продукт — `assertFreshDemoBundle`
       # сверяет вшитый отпечаток с исходниками этого дерева.
       - name: Забрать собранный бандл
-        uses: actions/download-artifact@v7
+        uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: card-bundle
           path: dist
@@ -917,7 +928,7 @@ jobs:
       # прогона, потому что после падения шаги кэша уже не помогут отличить
       # виновника от свидетеля.
       - name: Прежнее падение на тех же входах
-        uses: actions/cache/restore@v6
+        uses: actions/cache/restore@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .fail-marker
           key: fail-golden-${{ needs.reuse.outputs.golden_key }}
@@ -933,7 +944,7 @@ jobs:
           fi
       - name: Upload golden candidates/diffs
         if: failure() || steps.golden.outputs.has_baselines == 'false'
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: golden-images
           path: artifacts/golden
@@ -952,7 +963,7 @@ jobs:
         # Гонка двух прогонов даёт «Cache already exists»; для маркера падения
         # это тем более не отказ гейта — job и так красная по существу.
         continue-on-error: true
-        uses: actions/cache/save@v6
+        uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: .fail-marker
           key: fail-golden-${{ needs.reuse.outputs.golden_key }}
@@ -965,7 +976,7 @@ jobs:
             "прогон: ${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}" \
             "попытка: ${{ github.run_attempt }}" \
             > .reuse-marker
-      - uses: actions/cache/save@v6
+      - uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         # Гонка двух прогонов с одинаковым ключом даёт «Cache already exists».
         # Это не отказ гейта: работа выполнена, маркер уже записал сосед — job
         # краснеть из-за этого не должна.
@@ -987,8 +998,8 @@ jobs:
     # (#473) добавляют до двух замеров по 3 образца — окно расширено под них.
     timeout-minutes: 30
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -1000,7 +1011,7 @@ jobs:
       # внятной ошибкой — тогда флаг вернуть.
       - name: Кэш браузеров Playwright
         id: pw
-        uses: actions/cache@v6
+        uses: actions/cache@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         with:
           path: ~/.cache/ms-playwright
           key: playwright-${{ runner.os }}-${{ hashFiles('package-lock.json') }}
@@ -1011,7 +1022,7 @@ jobs:
       # один раз на прогон. Свежесть проверяет сам продукт — `assertFreshDemoBundle`
       # сверяет вшитый отпечаток с исходниками этого дерева.
       - name: Забрать собранный бандл
-        uses: actions/download-artifact@v7
+        uses: actions/download-artifact@37930b1c2abaa49bbe596cd826c3c89aef350131 # v7
         with:
           name: card-bundle
           path: dist
@@ -1047,7 +1058,7 @@ jobs:
         run: npm run benchmark:wall-draw-click -- --output=artifacts/performance-smoke/wall-draw-click.json
       - name: Upload performance smoke report
         if: always()
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: performance-smoke
           path: artifacts/performance-smoke
@@ -1060,7 +1071,7 @@ jobs:
             "прогон: ${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}" \
             "попытка: ${{ github.run_attempt }}" \
             > .reuse-marker
-      - uses: actions/cache/save@v6
+      - uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         # Гонка двух прогонов с одинаковым ключом даёт «Cache already exists».
         # Это не отказ гейта: работа выполнена, маркер уже записал сосед — job
         # краснеть из-за этого не должна.
@@ -1075,12 +1086,12 @@ jobs:
     if: needs.changes.outputs.geometry_parity == 'true' && needs.reuse.outputs.geometry_parity != 'true'
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version-file: .nvmrc
           cache: npm
-      - uses: actions/setup-python@v7
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with:
           python-version-file: .python-version
       - run: npm ci
@@ -1097,7 +1108,7 @@ jobs:
             "прогон: ${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}" \
             "попытка: ${{ github.run_attempt }}" \
             > .reuse-marker
-      - uses: actions/cache/save@v6
+      - uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         continue-on-error: true
         with:
           path: .reuse-marker
@@ -1109,12 +1120,12 @@ jobs:
     if: needs.changes.outputs.backend == 'true' && needs.reuse.outputs.backend != 'true'
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
       # Browser fixtures are generated by their real ESM factories and then
       # validated through the Python CONFIG_SCHEMA/LAYOUT_SCHEMA in the same test.
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
-      - uses: actions/setup-python@v7
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with: { python-version: "3.14" }
       - run: |
           # Точные версии — в tests_backend/requirements.txt (#392): без них
@@ -1162,7 +1173,7 @@ jobs:
           echo "coverage: $actual% (baseline $baseline%)"
           python -c "import sys; sys.exit(0 if float('$actual') >= float('$baseline') - 0.1 else 1)"
       - name: Артефакт coverage.xml
-        uses: actions/upload-artifact@v4
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
         with:
           name: backend-coverage
           path: coverage.xml
@@ -1175,7 +1186,7 @@ jobs:
             "прогон: ${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }}" \
             "попытка: ${{ github.run_attempt }}" \
             > .reuse-marker
-      - uses: actions/cache/save@v6
+      - uses: actions/cache/save@55cc8345863c7cc4c66a329aec7e433d2d1c52a9 # v6
         # Гонка двух прогонов с одинаковым ключом даёт «Cache already exists».
         # Это не отказ гейта: работа выполнена, маркер уже записал сосед — job
         # краснеть из-за этого не должна.
@@ -1195,10 +1206,10 @@ jobs:
     needs: [preflight, changes, reuse, hacs, hassfest, changed_mutants, frontend, smoke, smoke_done, golden, performance_smoke, geometry_parity, backend]
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           ref: ${{ github.sha }}
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with: { node-version: 22 }
       - name: Зафиксировать tree кандидата
         id: candidate
@@ -1215,7 +1226,7 @@ jobs:
           NEEDS_JSON: ${{ toJSON(needs) }}
         run: node scripts/ci-proof.mjs --emit=artifacts/ci-proof/proof.json
       - name: Опубликовать proof точной попытки
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: ci-proof-${{ github.run_id }}-${{ github.run_attempt }}
           path: artifacts/ci-proof/proof.json