🚧 Main Branch: El de los pull requests que ponen límites

Hola mi gente linda,

Salieron dos cambios que deciden qué puede hacer un pull request y quién puede verlo. Uno es una herramienta de moderación que los maintainers llevan años pidiendo. El otro es un default de seguridad que ya se aplicó a tus workflows, hayas leído el changelog o no.

🚢 Lo que salió

Los admins de repositorios pueden archivar pull requests (16 de julio)

Archivar un PR lo cierra, lo bloquea y lo oculta de todos menos de los admins del repositorio. A los no admins que lleguen al URL les sale un 404. Puedes archivar en lote o de a uno, y al desarchivarlo vuelve todavía cerrado y bloqueado.

Hasta ahora, lidiar con un PR spam o abusivo significaba borrarlo y perder el registro con él. Archivar conserva el historial para los admins y lo saca de la vista pública, también en los casos donde la política o lo legal dicen que no puedes borrar nada. Los maintainers de repos públicos populares llevan mucho tiempo pidiendo esto. Usa is:archived para traerlos de vuelta durante el triage.

actions/checkout rechaza checkouts de forks en pull_request_target (aplicación desde el 20 de julio)

pull_request_target corre con el GITHUB_TOKEN del repositorio base, sus secrets y acceso al caché del default branch. Hacer checkout de un PR sin revisar de un fork en ese contexto es el patrón “pwn request” detrás de varios incidentes de supply chain.

v7 salió en junio rechazándolo por default. El 20 de julio esa aplicación se llevó a todas las versiones mayores soportadas, así que todo lo que usaba un tag flotante como actions/checkout@v4 lo recibió automáticamente. Los SHAs fijados no, y todavía necesitan actualizarse.

Esta es la forma que ahora falla:

# workflow pull_request_target, PR desde un fork
- uses: actions/checkout@v4
  with:
    ref: refs/pull/${{ github.event.pull_request.number }}/merge

Pasa lo mismo con ref: apuntando al SHA del head del fork, o con repository: resolviendo al fork.

📖 Lo que estoy leyendo

The Land and Its People de David Sedaris

Soy fan de Sedaris desde hace años y años. Me encanta cómo escribe. Este es un libro de ensayos sobre ser extranjero, hermano y amigo de toda la vida, incluyendo una parte donde intenta ser cuidador después de la cirugía de su pareja y queda en un punto entre lograrlo y no lograrlo.

Vale tu tiempo si: te gusta la escritura ingeniosa y necesitas algo que te saque la cabeza del trabajo por una hora.

🔧 Lo que estoy usando

Team X-Ray, mi propia extensión de VS Code. Lee el historial local de git, commits, contributors y file ownership, y arma un mapa de quién sabe realmente qué en el repo.

Team X-Ray en el VS Code Marketplace

✨ Esta semana

Estoy cerrando una racha de viajes. La semana pasada hablé en Nebraska Code, mi primera vez en Nebraska y mi primera conferencia en el Midwest, y es una conferencia buenísima. Tiene muchos detalles pequeños y muy pensados. La gente fue de verdad muy amable.

Los eventos IRL todavía son donde conoces gente y recoges las cosas que no estabas buscando. Los organizadores de Nebraska Code cuidaron mucho mantener una barra alta para las charlas. Les pidieron a los speakers que no usaran AI para pensar por ellos. Si vas a estar parada en un escenario, deberías conocer tu material lo suficiente para hablar de él sin leerle un guion al salón. Yo hablé de Team X-Ray.

Mi cumpleaños también cae esta semana, el viernes 31. Otra vuelta al sol, y agradezco estar aquí con mi familia y mis amigos. Entre más grande soy, mejor me siento con las decisiones y sacrificios que hice para existir, y más gracia me doy como mamá, esposa y amiga. No sean como yo, no esperen tanto para darse cuenta de lo increíble que es tener amistades reales, amor y aire en los pulmones.

Con gratitud,

Andrea

📌 P.D.

Algunas personas llevan leyendo suficiente tiempo para recordar el Issue #20, cuando Charlie, mi perro mayor, se rompió el CCL. El 17 de julio tuvimos que dejarlo ir, de la forma más amorosa y compasiva que pudimos. Dejó un hueco enorme en la casa, y creo que Wilson, nuestro otro perro, es quien más duro lo está llevando. Era su compañero. Gracias a todos los que mandaron una nota y entendieron lo que él significa para nosotros. Es difícil explicarle esa parte a alguien que nunca ha tenido perro. Él era realmente parte de la familia.

Escribí sobre él y sobre cómo llegó a nuestra vida. Si necesitas llorar un poquito, lee Let Me Tell You About Charlie.

El evento de developers más grande del mundo llega a Silicon Valley

Un viaje, y tu equipo deja de adivinar sobre adopción de AI, plataforma, seguridad y tooling.

WeAreDevelopers World Congress, San José, California, del 23 al 25 de septiembre de 2026, en el corazón de Silicon Valley. Más de 500 speakers y 10.000 developers trabajando en lo que de verdad llega a producción: coding agents, evals, MCP, observability y agent security.

Kelsey Hightower. Thomas Dohmke (ex CEO de GitHub). Christine Yen (CEO de Honeycomb). Mathias Biilmann (CEO de Netlify). Olivier Pomel (CEO de Datadog). La gente que realmente está construyendo las herramientas que usas cada día, toda en un mismo escenario.

Lleva una lista corta de decisiones y sal con respuestas y contactos a los que todavía puedas acudir después del evento. Los precios suben a medida que nos acercamos.

Usa el código GITPUSH26 para 10% de descuento.

Consigue tu pase