Varför ditt "enkla" val av GitHub Pages kanske inte är så enkelt

Låt mig börja med att erkänna det: GitHub Pages är smidigt. Du pushar kod, och plötsligt finns din webbplats på nätet. Inga servrar att konfigurera, inga CI/CD-pipelines att felsöka klockan 02, inga deploymentscripts som av mystiska skäl strular på fredagar. Enkelheten får dig att glömma att det ens finns något underneath.

Men här är den obekväma sanningen som gömmer sig bakom den bekvämligheten: varje gång du använder GitHub Pages placerar du din kod, din infrastruktur och dina data under amerikansk jurisdiktion. Och 2024 är året då det börjar spela roll – mer än de flesta utvecklare inser.

Cloud Act-problemet som ingen pratar om

US Cloud Act, antagen 2018, ger amerikanska myndigheter rätt att tvinga amerikanska företag att lämna ut data – även när den datan fysiskt ligger på servrar i Frankfurt, Amsterdam eller Dublin. GitHub (ägt av Microsoft) och GitLab Inc. är båda amerikanska företag. De omfattas av den här lagen, punkt slut.

Innan du avfärdar detta som paranoia, fundera på vad som faktiskt finns i ditt repository:

• Opublicerade blogginlägg med produktlanseringar
• Intern dokumentation för teamet
• Kundprojekt i ärenden och wikis
• Deployment credentials och åtkomsttokens
• Åtkomstloggar som visar vem som har pysslat med dina projekt

Ingenting av detta är publikt. Allt är tekniskt tillgängligt under rätt (eller fel) omständigheter. För en företagsblogg kan detta vara en acceptabel avvägning. För en startup med orealeaserade features, en konsultfirma med kundprojekt, eller någon som hanterar känslig källkod – det borde få dig att höja på ögonbrynen.

Transparensgapet

Det som frustrerar mig mest med de stora plattformarna: opaciteten kring datainsamling.

GitHub, GitLab och Cloudflare erbjuder alla GDPR-compliance och har DPA:er du kan signera. Det känns tryggt – tills du inser att du inte har en aning om vad de faktiskt loggar. IP-adresser? User agents? Timestamps med geolocation? Standardvillkoren är vaga, och de faktiska serverloggarna visas aldrig.

Jämför det med mindre leverantörer som statichost.eu, som öppet dokumenterar exakt vad som träffar deras serverloggar: inga IP-adresser, inga user agents, bara aggregerade responsstorlekar för fakturering. De inkluderar till och med ett exempel på en loggpost i dokumentationen. Det är den typen av transparens som bygger förtroende.

Och sedan finns det juridiska träsket kring EU-US Data Privacy Framework. Efterföljaren till Privacy Shield, mekanismen amerikanska företag använder för att legitimera dataöverföringar från Europa. Här är grejen: ramen vilar i grunden på FTC:s oberoende – och USA:s högsta domstol har nyligen ifrågasatt just detta oberoende. Den rättsliga grunden under transatlantiska dataöverföringar skakar. Europeisk infrastruktur på europeiska servrar är inte längre bara trevligt att ha; det blir alltmer det enda stabila fundamentet.

Enkelhetens fälla

GitHub Pages är så elegant integrerat att du slutar tänka på "kodhosting" och "webbplatsdeployment" som separata koncept. De är bara... GitHub. Den sömlösa upplevelsen är briljant UX, men den skapar ett dolt beroende.

Du är inte låst i den hårda bemärkelsen – att migrera är tekniskt sett enkelt. Men om du aldrig mentalt har separerat de här sakerna, optimerar du dem heller aldrig oberoende av varandra. Du accepterar vad GitHub erbjuder för deployment för att det är så webbplatser fungerar.

Det här är seams-based architecture-argumentet tillämpat på infrastruktur: koppling skapar dolda kostnader, även när det känns bekvämt.

Den europeiska alternativa stacken

Här kommer den goda nyheten: statiska sajter är naturligt portabla. Hela poängen med en static site generator är att ditt innehåll blir vanliga filer. Att flytta hosting är sällan lika smärtsamt som att migrera en databasapplikation.

Den framväxande alternativa stacken ser ut ungefär så här:

För Git-hosting:

Codeberg kör på Forgejo (ett community-fork av Gitea) och drivs av en ideell organisation i Berlin. Det är gratis, helt öppen källkod, och infrastrukturen finns i Tyskland. För publika repositories och open source-projekt är det ett självklart val. Deras villkor välkomnar uttryckligen open source-arbete.

Codefloe är den kommersiella motsvarigheten – också Forgejo-baserad, men utan användningsbegränsningar. Privata repositories? Kommersiella projekt? Enterprise-team? Alla är välkomna. Om din källkod inte borde vara publik, är det här ditt europeiska alternativ.

Båda plattformarna pratar standard-Git. Att byta från GitHub betyder att du ändrar en remote-URL. Importverktyg överför hela din historik.

För deployment:

statichost.eu bygger och hostar statiska sajter i europeiska datacenter. Koppla ditt repository via webhook, ange din byggprocess (de stöder Docker images, så i princip vilken static site generator som helst funkar), och pusha för att deploya. Custom domains, SSL-certifikat, hela paketet.

Separationen är inte bara filosofisk – den är praktisk. Du kan byta din Git-host utan att röra din deployment, eller migrera ditt hosting utan att flytta din kod. Två oberoende komponenter, två oberoende beslut.

Att göra bytet

Om du är övertygad men orolig för komplexitet: den här stacken är genuint lika smidig som GitHub Pages. Zola bygger sajter på millisekunder. Codeberg eller Codefloe sköter ditt repository. statichost.eu drar igång byggena. Developer experience är nästan identisk.

Skillnaden är att när du sover lever din data i Europa, styrd av europeisk lag, loggad med europeisk transparens, och kontrollerad av europeiska organisationer.

För vissa projekt är GitHub Pages helt okej. För projekt där datasuveränitet, integritet eller professionell diskretion spelar roll förtjänar den europeiska alternativa stacken seriöst övervägande.

Statiska sajter är portabla till sin natur. Kanske är det dags att din infrastruktur reflekterade det.