Hvorfor GitHub Pages kanskje ikke er så uskyldig som det ser ut

La meg være ærlig: GitHub Pages er magisk. Du dytter kode, og plutselig er nettsiden din ute på internett. Ingen servere å konfigurere, ingen CI/CD-pipelines å fikse klokka to om natta, ingen deploymentskript som av en eller annen grunn feiler på fredager. Det er den typen enkelhet som får deg til å glemme at det finnes noe under overflaten.

Men her er den ubehagelige sannheten som gjemmer seg bak den bekvemmeligheten: hver gang du bruker GitHub Pages, plasserer du koden din, infrastrukturen din og dataene dine under amerikansk jurisdiksjon. Og i 2024 begynner det å bety noe mer enn de fleste utviklere er klar over.

Cloud Act-problemet ingen snakker om

US Cloud Act, vedtatt i 2018, gir amerikanske myndigheter makt til å tvinge amerikanske selskaper til å gi tilgang til data – selv når dataene ligger på servere fysisk plassert i Frankfurt, Amsterdam eller Dublin. GitHub (eid av Microsoft) og GitLab Inc. er begge amerikanske selskaper. De er underlagt denne loven, punktum.

Før du avfeier dette som paranoia, tenk på hva som faktisk ligger i repoet ditt:

• Upubliserte blogginnlegg med produktkunngjøringer
• Intern dokumentasjon for teamet
• Detaljer om klientprosjekter i issues og wikier
• Deployment-legitimasjon og access-tokens
• Tilgangslogger som viser hvem som har rotet rundt i prosjektene dine

Ingenting av dette er offentlig. Alt er teknisk sett tilgjengelig under de rette (eller gale) omstendighetene. For en bedriftsblogg kan dette være et akseptabelt kompromiss. For en startup med ulanserte funksjoner, et konsulentselskap med klientprosjekter, eller hvem som helst som håndterer sensitiv kildekode, bør det i det minste få deg til å heve et øyenbryn.

Transparensgapet

Her er det som frustrerer meg mest med de store plattformene: det er fullstendig mørkt rundt hva de egentlig samler inn av data.

GitHub, GitLab og Cloudflare tilbyr alle GDPR-samsvar og har databehandlingsavtaler du kan signere. Det føles betryggende helt til du skjønner at du ikke har peiling på hva de faktisk logger. IP-adresser? User agents? Tidsstempler med geolokasjon? Standardvilkårene er vage, og de faktiske serverloggene vises deg aldri.

Sammenlign dette med mindre leverandører som statichost.eu, som åpent dokumenterer nøyaktig hva som treffer serverloggene deres: ingen IP-adresser, ingen user agents, bare aggregerte responsstørrelser for faktureringsformål. De inkluderer til og med et eksempel på en loggoppføring i dokumentasjonen sin. Det er den typen transparens som bygger tillit.

Og så har vi det juridiske minefeltet som EU-US Data Privacy Framework utgjør. Dette er arvtakeren til Privacy Shield, mekanismen amerikanske selskaper bruker for å legitimere dataoverføringer fra Europa. Her er greia: rammeverket hviler i stor grad på FTCs uavhengighet – og USAs høyesterett har nylig satt tvil ved nettopp den uavhengigheten. Det juridiske grunnet under transatlantiske dataoverføringer skifter. Europeisk infrastruktur på europeiske servere er ikke lenger bare en hyggelig tilleggsgave; det blir i økende grad det eneste stabile fundamentet.

Brukervennlighetsfellen

GitHub Pages er så elegant integrert at du slutter å tenke på "kodehosting" og "nettside-deplying" som separate konsepter. Det er bare... GitHub. Denne sømløse opplevelsen er strålende UX, men den skaper en skjult avhengighet.

Du er ikke låst fast i den harde forstanden – migrering er teknisk sett rettfram. Men hvis du aldri mentalt har skilt disse bekymringene fra hverandre, har du heller aldri optimalisert dem uavhengig. Du godtar det GitHub tilbyr for deployment fordi det er bare sånn nettsider fungerer.

Dette er seams-based architecture-argumentet brukt på infrastruktur: kobling skaper skjulte kostnader, selv når det føles praktisk.

Den europeiske alternative stacken

Her er den gode nyheten: statiske nettsider er iboende portable. Hele poenget med en statisk sidegenerator er at innholdet ditt blir til vanlige filer. Å flytte hosting er sjelden like smertefullt som å migrere en databasebasert applikasjon.

Den framvoksende alternative stacken ser omtrent slik ut:

For Git-hosting:

Codeberg kjører på Forgejo (et community-fork av Gitea) og driftes av en ideell organisasjon i Berlin. Det er gratis, fullstendig open source, og infrastrukturen ligger i Tyskland. For offentlige repositories og open source-prosjekter er det et opplagt valg. Vilkårene deres tar uttrykkelig imot open source-arbeid.

Codefloe er det kommersielle motstykket – også Forgejo-basert, men uten bruksrestriksjoner. Private repositories? Kommersielle prosjekter? Enterprise-team? Alle er velkomne. Hvis kildekoden din ikke bør være offentlig, er dette ditt europeiske alternativ.

Begge plattformene snakker standard Git. Å bytte fra GitHub betyr å endre én remote-URL. Importverktøy overfører hele historikken din.

For deployment:

statichost.eu bygger og hoster statiske nettsider i europeiske datasentre. Koble repoet ditt via webhook, spesifiser build-prosessen din (de støtter Docker-images, så praktisk talt hvilken som helst statisk sidegenerator fungerer), og push for å deploye. Egendefinerte domener, SSL-sertifikater, hele pakka.

Separasjonen er ikke bare filosofisk – den er praktisk. Du kan bytte Git-leverandør uten å røre deployingen, eller migrere hosting uten å flytte koden. To uavhengige komponenter, to uavhengige beslutninger.

Å bytte

Hvis du er overbevist men bekymret for kompleksitet, la meg berolige deg: denne stacken er genuine like praktisk som GitHub Pages. Zola bygger nettsider på millisekunder. Codeberg eller Codefloe tar seg av repoet ditt. statichost.eu drar i gang byggingen. Developer-opplevelsen er nesten identisk.

Forskjellen er at når du sover, ligger dataene dine i Europa, styrt av europeisk lov, logget med europeisk transparens, og kontrollert av europeiske organisasjoner.

For noen prosjekter er GitHub Pages helt greit. For prosjekter der datahoheit, personvern eller profesjonell diskresjon betyr noe, fortjener den europeiske alternative stacken seriøs vurdering.

Statiske nettsider er portable av natur. Kanskje på tide at infrastrukturen din reflekterte det?