docs: ตารางฟีเจอร์ความปลอดภัยตาม visibility และประเภทบัญชี

[monthop-gmail]

ทำไมต้องเปลี่ยน

คำถามที่ทีมถามบ่อยที่สุดคือ "ปิดเป็น private ปลอดภัยกว่าไหม" และ "ย้ายไปบัญชีส่วนตัวจะต่างไหม"

เดิม docs/04 ตอบได้แค่ครึ่งเดียว (มีแค่ตาราง public vs private) และไม่ได้แยก org กับ personal เลย ทำให้ทีมยังต้องมาเถียงกันอยู่

วิธีหาคำตอบ

ทดสอบจริงกับ repo ทั้ง 4 แบบบนแผนฟรี ไม่ได้อ้างจากเอกสารอย่างเดียว:

personal + public    rulesets=ได้    secret_scanning=enabled  private_vuln_report=ได้
personal + private   rulesets=ไม่ได้  secret_scanning=null     private_vuln_report=ไม่ได้
org + public         rulesets=ได้    secret_scanning=enabled  private_vuln_report=ได้
org + private        rulesets=ไม่ได้  secret_scanning=null     private_vuln_report=ไม่ได้

คอลัมน์ personal+public กับ org+public เหมือนกันทุกแถว และ personal+private กับ org+private ก็เหมือนกันทุกแถว

→ ข้อสรุป: public/private เป็นตัวตัดสินเกือบทุกอย่าง · org/personal แทบไม่เกี่ยว

เปลี่ยนอะไร

docs/04 แทนหัวข้อ "ข้อจำกัดตามแผนของ GitHub" เดิมด้วยฉบับเต็ม:

• ตารางฟีเจอร์ 9 อย่าง × 4 แบบบัญชี/visibility
• ตารางสิ่งที่ต่างกันจริงระหว่าง org กับ personal — CODEOWNERS ใช้ @org/team ได้เฉพาะ org, org-level ruleset/secret, และ gitleaks-action ที่ org ต้องมี license (ข้อเดียวที่ org แย่กว่า)
• ตัวอย่าง gitleaks ผ่าน docker พร้อมเหตุผลว่าทำไม --redact กับ fetch-depth: 0 ห้ามลืม
• สรุปวิธีตัดสินใจ

docs/05 — org-level ruleset มีผลกับ public repo เท่านั้นบนแผนฟรี (เดิมเขียนเหมือนใช้ได้ทุก repo)

docs/99 — เพิ่มแถวในตารางแก้ปัญหา

ข้อสรุปที่สำคัญที่สุดในเอกสารนี้

อย่าปิดเป็น private เพื่อความปลอดภัย — บนแผนฟรีมันทำให้แย่ลง เพราะเสียเครื่องมือตรวจ 5 ตัว เหลือแค่ Dependabot
ปิดเพราะเป็นความลับทางธุรกิจได้ แต่นั่นคือการตัดสินใจเชิงธุรกิจ ไม่ใช่เชิงความปลอดภัย

สิ่งที่ยืนยันไม่ได้ 100%

สองแถวในตารางมาจากเอกสาร ไม่ใช่ผลทดสอบ — org-level ruleset (token ขาด scope admin:org) และ โควตา Actions (ไม่มี API ที่มีสิทธิ์วัด) ระบุไว้ในเอกสารแล้วว่าอันไหนทดสอบแล้วอันไหนไม่

ทดสอบยังไง

./scripts/validate.sh

ผ่านทั้งหมด (ลิงก์ภายในที่เพิ่มใหม่ 2 อันชี้ถูกต้อง)

ผลกระทบ

• เป็น breaking change
• ต้องรัน migration
• ต้องเพิ่ม/แก้ env var หรือ secret
• กระทบ repo อื่น