GitHub Pages er genialt – men hvad gemmer der sig bag nemheden?

Lad os lige være ærlige: GitHub Pages er magisk. Du pusher kode, og pludselig er din hjemmeside live. Ingen servere at konfigurere, ingen CI/CD pipelines der brokker sig klokken 02 om natten, ingen deploymentscripts der mystisk fejler netop på fredage. Det er den slags enkelhed der får dig til at glemme at der overhovedet er noget under overfladen.

Men her er sandheden gemt bag den bekvemmelighed: hver gang du bruger GitHub Pages, placerer du din kode, din infrastruktur og dine data under amerikansk jurisdiktion. Og i 2024 betyder det mere end de fleste udviklere er klar over.

Cloud Act-problemet ingen snakker om

Den amerikanske Cloud Act blev vedtaget i 2018 og giver føderale myndigheder beføjelse til at tvinge amerikanske virksomheder til at udlevere adgang til data – selv når den data fysisk befinder sig på servere i Frankfurt, Amsterdam eller Dublin. GitHub (ejet af Microsoft) og GitLab Inc. er begge amerikanske selskaber. De er underlagt denne lov, punktum.

Før du afviser det som paranoia, så tænk over hvad der faktisk ligger i dit repository:

• Upublicerede blogindlæg med produktnyheder
• Intern dokumentation fra dit team
• Detaljer om kundeprojekter i issues og wikis
• Deployment credentials og adgangstokens
• Adgangslogge der viser hvem der har rodet rundt i dine projekter

Ingenting af dette er offentligt. Alt sammen er teknisk tilgængeligt under de rette (eller forkerte) omstændigheder. For en corporate blog kan det være en acceptabel afvejning. For en startup med ureleaserede features, et konsulentfirma med kundeprojekter, eller enhver der håndterer følsom kildekode – bør det få én til at løfte et øjenbryn.

Transparensgabet

Det der frustrerer mig mest ved de store platforme: den totale mørklægning omkring dataindsamling.

GitHub, GitLab og Cloudflare tilbyder alle GDPR-overholdelse og har Data Processing Agreements man kan skrive under på. Det føles beroligende indtil man indser at man ikke har den fjerneste idé hvad de egentlig logger. IP-adresser? User agents? Tidsstempler med geolokation? Standardvilkårene er vage, og de faktiske serverlogge bliver aldrig vist til én.

Sammenlign det med mindre udbydere som statichost.eu, der åbent dokumenterer præcis hvad der rammer deres serverlogge: ingen IP-adresser, ingen user agents, kun aggregerede responsstørrelser til faktureringsformål. De inkluderer endda et eksempel på en logindgang i deres dokumentation. Det er den slags transparens der bygger tillid.

Og så er der det juridiske morads med EU-US Data Privacy Framework. Det er opfølgeren til Privacy Shield, mekanismen amerikanske virksomheder bruger til at legitimere dataoverførsler fra Europa. Det interessante er: rammerne hviler substantielt på FTC's uafhængighed – og US Supreme Court har for nylig sat spørgsmålstegn ved denne uafhængighed. Det juridiske fundament under transatlantiske dataoverførsler skifter. Europæisk infrastruktur på europæiske servere er ikke længere bare en nice-to-have; det er i stigende grad det eneste stabile fundament.

Seamlessness-fælden

GitHub Pages er så elegant integreret at du holder op med at tænke på "code hosting" og "website deployment" som to adskilte ting. Det er bare... GitHub. Denne sømløse oplevelse er brilliant UX, men den skaber en skjult afhængighed.

Du er ikke låst fast på den hårde måde – migrering er teknisk ligetil. Men hvis du aldrig mentalt har adskilt disse bekymringer, har du heller aldrig optimeret dem uafhængigt. Du accepterer hvad GitHub tilbyder til deployment fordi det bare er sådan websites fungerer.

Det her er seams-based architecture argumentet anvendt på infrastruktur: kobling skaber skjulte omkostninger, selv når det føles bekvemt.

Den europæiske alternativstak

Her er den gode nyhed: statiske sider er af natur flytbare. Hele pointen med en static site generator er at dit indhold bliver til almindelige filer. At flytte hosting er sjældent så smertefuldt som at migrere en database-bagudliggende applikation.

Den spirende alternative stak ser nogenlunde sådan ud:

Til Git hosting:

Codeberg kører på Forgejo (et community-fork af Gitea) og drives af en non-profit i Berlin. Det er gratis, fuldt open source, og infrastrukturen befinder sig i Tyskland. For offentlige repositories og open-source projekter er det et oplagt valg. Deres vilkår byder eksplicit open-source arbejde velkommen.

Codefloe er det kommercielle modstykke – også Forgejo-baseret, men uden brugerbegrænsninger. Private repositories? Kommerzielle projekter? Enterprise teams? Alt er velkommen. Hvis din kildekode ikke skal være offentlig, er det her dit europæiske valg.

Begge platforme taler standard Git. At skifte fra GitHub betyder at ændre én remote URL. Importværktøjer overfører hele din historik.

Til deployment:

statichost.eu bygger og hoster statiske sider i europæiske datacentre. Forbind dit repository via webhook, angiv din buildproces (de supporterer Docker images, så stort set enhver static site generator virker), og push to deploy. Custom domains, SSL certificates, hele pakken.

Adskillelsen er ikke bare filosofisk – den er praktisk. Du kan skifte din Git-udbyder uden at røre dit deployment, eller migrere dit hosting uden at flytte din kode. To uafhængige komponenter, to uafhængige beslutninger.

At tage springet

Hvis du er overbevist men bekymret om kompleksitet, lad mig berolige dig: denne stak er virkelig lige så bekvem som GitHub Pages. Zola bygger sider på millisekunder. Codeberg eller Codefloe håndterer dit repository. statichost.eu triggere byggeri. Developer experience er næsten identisk.

Forskellen er at når du sover, ligger dine data i Europa, styret af europæisk lov, logget med europæisk transparens, og kontrolleret af europæiske organisationer.

For nogle projekter er GitHub Pages fint. For projekter hvor datasuverænitet, privatliv eller professionel diskretion betyder noget, fortjener den europæiske alternativstak seriøs overvejelse.

Statiske sider er portable af natur. Måske er det tid at din infrastruktur afspejlede det.