GitHub Pages on kätevä – mutta onko se myös riski?

Olen rehellinen: rakastan GitHub Pagesia. Pushaat koodin, ja jostain syystä sivustosi ilmestyy verkkoon. Ei palvelimia säädettäväksi, ei CI/CD-putkia debugattavaksi keskellä yötä, ei deploy-skriptejä jotka mystisesti hajoavat perjantaisin. Se on sitä harvinaislaatuista yksinkertaisuutta, joka saa unohtamaan, että alla on oikeastaan koko infrastruktuurikerros.

Mutta tuon mukavuuden taustalla piilossa on epämukava totuus: joka kerta kun käytät GitHub Pagesia, sijoitat koodisi, käyttöönottoinfrastruktuurisi ja datasi amerikkalaisen lainsäädännön piiriin. Ja vuonna 2024 tämä alkaa merkitä enemmän kuin useimmat kehittäjät ymmärtävät.

Cloud Act – ongelma josta kukaan ei puhu

Yhdysvaltain Cloud Act astui voimaan 2018, ja se antaa liittovaltion viranomaisille valtuudet pakottaa amerikkalaiset yritykset luovuttamaan pääsyn dataan – silloinkin kun data sijaitsee fyysisesti Frankfurtissa, Amsterdamissa tai Dublinissa. Sekä GitHub (Microsoftin omistuksessa) että GitLab Inc. ovat amerikkalaisia yhtiöitä. Ne ovat tämän lain alaisia, piste.

Ennen kuin hylkäät tämän paranoiaattina, mieti mitä oikeasti repositoryssäsi majaillee:

• Julkaisemattomia blogipostauksia tuotejulkistuksineen
• Sisäistä tiimin dokumentaatiota
• Asiakasprojektien yksityiskohtia issuen ja wikeissä
• Deploy-tunnuksia ja pääsytokeneita
• Lokitietoja siitä, kuka on tutkaillut projektejasi

Mikään näistä ei ole julkista. Kaikki on teknisesti saavutettavissa oikeissa – tai väärissä – olosuhteissa. Yritysblogille tämä voi olla hyväksyttävä kompromissi. Startupille julkistamattomine ominaisuuksineen, konsulttiyritykselle asiakasprojekteineen tai kenelle tahansa, joka käsittelee arkaluonteista lähdekoodia, tämän pitäisi saada kulmakarvat kohoamaan.

Läpinäkyvyyden kuoppa

Se mikä minua eniten turhauttaa suurissa alustoissa: läpinäkyvyys datan keräämisessä puuttuu käytännössä kokonaan.

GitHub, GitLab ja Cloudflare tarjoavat GDPR-yhteensopivuuden ja sopimuksia tiedonkäsittelystä, jotka voit allekirjoittaa. Tämä tuntuu rauhoittavalta – kunnes tajuat, ettei sinulla ole aavistustakaan siitä, mitä ne oikeasti kirjaavat lokeihin. IP-osoitteita? User agenteja? Aikaleimoja geolokaatioineen? Oletusehdot ovat hataralla pohjalla, ja varsinaisia palvelinlokeja ei koskaan näytetä sinulle.

Vertaa tätä pienempiin tarjoajiin kuten statichost.eu, joka avoimesti dokumentoi tarkalleen mitä heidän palvelinlokeihinsa osuu: ei IP-osoitteita, ei user agenteja, vain koostettuja vastekokoja laskutusta varten. He sisältävät jopa esimerkkilokimerkinnän dokumentaatioonsa. Tällaista läpinäkyvyyttä, joka rakentaa luottamusta.

Ja sitten on EU:n ja Yhdysvaltain datansuojakehyksen oikeudellinen suokko. Tämä on Privacy Shieldin seuraaja, mekanismi jolla amerikkalaiset yritykset oikeuttavat datasiirrot Euroopasta. Mutta here's the kicker: kehys nojaa olennaisesti FTC:n riippumattomuuteen – ja Yhdysvaltain korkein oikeus on hiljattain kyseenalaistanut juuri tuon riippumattomuuden. Atlantin yli kulkevan datansiirron oikeudellinen pohja horjuu. Eurooppalainen infrastruktuuri eurooppalaisilla palvelimilla ei ole vain mukava lisä; siitä tulee yhä enemmän ainoa vakaa perusta.

Saumattomuuden ansa

GitHub Pages on niin elegantisti integroitu, että lakkaat ajattelemasta "koodinhostausta" ja "verkkosivujen käyttöönottoa" erillisinä asioina. Ne ovat vain... GitHub. Tämä saumaton kokemus on loistavaa UX:ää, mutta se luo piilotetun riippuvuuden.

Et ole lukittu kovassa mielessä – migraatio on teknisesti yksinkertaista. Mutta jos et ole koskaan henkisesti erottanut näitä asioita toisistaan, et myöskään optimoi niitä itsenäisesti. Hyväksyt sen mitä GitHub tarjoaa käyttöönottoon, koska "näin verkkosivut vain toimivat."

Tämä on se saumapohjainen arkkitehtuurin argumentti sovellettuna infrastruktuuriin: kytkentä luo piilokustannuksia, vaikka se tuntuu kätevältä.

Eurooppalainen vaihtoehtoinen pinon rakentaminen

Tässä hyvä uutinen: staattiset sivustot ovat luonteeltaan siirrettäviä. Koko staattisen sivustogeneraattorin pointti on, että sisältösi muuttuu tavallisiksi tiedostoiksi. Hostingin vaihtaminen on harvoin yhtä kivuliasta kuin tietokantavetoisen sovelluksen migraatio.

Nousemassa oleva vaihtoehtoinen pino näyttää suunnilleen tältä:

Git-hostingiin:

Codeberg pyörii Forgejo-alustalla (yhteisön haara Giteasta) ja sitä operoi voittoa tavoittelematon yhdistys Berliinissä. Se on ilmainen, täysin avointa lähdekoodia, ja infrastruktuuri sijaitsee Saksassa. Julkisille repositorioille ja avoimen lähdekoodin projekteille se on ilmeinen valinta. Heidän ehtonsa eksplisiittisesti toivottavat tervetulleeksi avoimen lähdekoodin työn.

Codeflox on kaupallinen vastine – myös Forgejo-pohjainen, mutta ilman käyttörajoituksia. Yksityiset repositoriot? Kaupalliset projektit? Yritystiimit? Kaikki tervetulleita. Jos lähdekoodisi ei saa olla julkinen, tässä on eurooppalainen vaihtoehtosi.

Molemmat alustat puhuvat standardia Gitia. Vaihtaminen GitHubista tarkoittaa yhden remote-URLin muuttamista. Import-työkalut siirtävät koko historiansa.

Käyttöönottoon:

statichost.eu rakentaa ja hostaa staattisia sivustoja eurooppalaisissa datakeskuksissa. Yhdistä repositoriosi webhookilla, määritä build-prosessi (he tukevat Docker-imageja, joten käytännössä mikä tahansa staattinen sivustogeneraattori toimii), ja pushaa deployiin. Mukautetut domainit, SSL-varmenteet, koko setti.

Erottelu ei ole vain filosofinen – se on käytännöllinen. Voit vaihtaa Git-hostia koskematta käyttöönottoon, tai migraatiota hostingia ilman koodin siirtämistä. Kaksi itsenäistä komponenttia, kaksi itsenäistä päätöstä.

Vaihtaminen käytäntöön

Jos olet vakuuttunut mutta huolestunut monimutkaisuudesta, anna minun vakuuttaa sinut: tämä pino on aidosti yhtä kätevä kuin GitHub Pages. Zola rakentaa sivustot millisekunneissa. Codeberg tai Codeflox hoitaa repositorion. statichost.eu vetää langan buildsille. Kehittäjäkokemus on lähes identtinen.

Ero on siinä, että kun nukut, datasi sijaitsee Euroopassa, eurooppalaisen lain alaisena, lokitettuna eurooppalaisella läpinäkyvyydellä ja eurooppalaisten organisaatioiden hallinnoimana.

Jotkut projektit – niille GitHub Pages on fine. Niille projekteille joissa datan suvereniteetti, yksityisyys tai ammatillinen harkinta merkitsee, eurooppalainen vaihtoehtoinen pino ansaitsee vakavan harkinnan.

Staattiset sivustot ovat luonteeltaan siirrettäviä. Ehkä on aika että myös infrastruktuurisi heijastelee tätä.