Crear PR en otro repositorio con GitHub Actions

Al desarrollar el proyecto mkdotenv me encontré con un reto concreto: publicar para macOS y mantener un tap de Homebrew alojado en un repositorio independiente, en este caso homebrew mkdotenv. Para automatizar todo desde GitHub Actions diseñé un flujo que crea la fórmula, la valida en macOS y abre un pull request en el repositorio del tap sin intervención manual.

Resumen del flujo que implementé: 1 Al generar la release en mkdotenv se crea la fórmula de Homebrew. 2 Se clona el repositorio del tap. 3 Se crea una rama y se copia la fórmula dentro de la carpeta Formula. 4 Se prueba la instalación. 5 Se hace push de la rama. 6 Se abre el pull request. Los últimos pasos fueron los más delicados, por lo que detallo cómo los resolví.

Apps y configuración necesarias

Paso 1 Instalar Qoomon Access Tokens for GitHub Actions. Usé el proyecto qoomon actions access token, que aporta una GitHub App capaz de emitir tokens temporales durante la ejecución del workflow. Estos tokens son muy útiles porque permiten permisos granulares como push de ramas o apertura de PRs entre repos, algo que el token por defecto GITHUB_TOKEN no siempre puede realizar. Es además una alternativa más segura que almacenar PAT en secretos. Lo instalé desde GitHub Marketplace sin coste, siguiendo el flujo estándar de instalación de apps.

Tras instalar la app hay que definir políticas de emisión de tokens con ficheros YAML en dos niveles. 1 Políticas globales en un repositorio llamado .github-access-token que contiene un archivo access-token.yaml con las reglas maestras: qué repos pueden solicitar tokens y con qué permisos. 2 Políticas locales en cada repositorio destino con un archivo .github/access-token.yaml que actúa como confirmación explícita por repo y restringe la política global al caso concreto. En mi caso utilicé tres repositorios, todos del mismo propietario pc-magas. a pc-magas .github-access-token con la política global. b pc-magas homebrew-mkdotenv que recibe los PR. c pc-magas mkdotenv que genera la fórmula, empuja una rama al tap y abre el PR.

Flujo conceptual. El workflow se ejecuta en mkdotenv, solicita un token a la app siguiendo las reglas de .github-access-token, clona homebrew mkdotenv con el token, crea una rama, sube cambios y abre el PR, todo con permisos mínimos y temporales.

Paso 2 Configurar la política global en el repo .github-access-token. Crea el repositorio con ese nombre y añade access-token.yaml. Puntos clave del fichero. Campo origin indica el repositorio propietario que define la política global con formato OWNER .github-access-token por ejemplo pc-magas .github-access-token. Sección allowed-repository-permissions define el techo de permisos que un token puede recibir por ejemplo actions write contents write pull-requests write. Sección statements define quién puede solicitar tokens y qué permisos adicionales recibe. En subjects se listan referencias de repos ramas o workflows autorizados y en permissions los permisos asignados como pull-requests write para que puedan abrir o actualizar PR. Si necesitas permitir varios repos añade múltiples bloques con sus permisos correspondientes.

Paso 3 Definir la política local en el repositorio al que harás el PR. En el repo objetivo crea .github access-token.yaml. En mi caso en pc-magas homebrew-mkdotenv. Este archivo es compacto e incluye origin apuntando al propio repo y una sección statements que indica qué repos están autorizados a interactuar y con qué permisos. Por ejemplo permitir que cualquier rama o workflow del repo pc-magas mkdotenv pueda hacer push de contenidos y abrir pull requests en pc-magas homebrew-mkdotenv asignando contents write y pull-requests write. Es un opt in explícito por seguridad.

Implementar el workflow en GitHub Actions. En mi pipeline el job relevante para crear el PR es test_homebrew que corre en macOS. Estructura general. 1 actions checkout con fetch depth 0. 2 Descargar el artefacto con la fórmula generada. 3 Generar un token temporal con qoomon actions access token pidiendo permisos contents write y pull_requests write contra el repo pc-magas homebrew-mkdotenv. 4 Configurar Git con nombre y correo de bot, clonar el tap usando la URL con x access token TOKEN, crear una rama nueva. 5 Copiar la fórmula en carpeta Formula, hacer commit y push. 6 Crear el PR vía API REST. Sobre autenticación el token se expone en una variable de entorno GH_PAT y se usa en la URL de clonación con formato https x access token TOKEN github.com owner repo.git para que Git autentique sin interacción. Para abrir el PR usé la API REST v2022 11 28 con curl incluyendo el header Authorization Bearer con el token temporal y el flag fail with body para forzar fallo del paso si la API responde con estatus de error, facilitando el diagnóstico.

Buenas prácticas y consejos. Minimiza permisos del token solicitando únicamente contents write y pull_requests write para el repositorio destino. Mantén las políticas globales y locales sincronizadas y revisadas por cambios de flujo. Versiona tus workflows, bloquea acciones por tag mayor y considera branch protection en el tap para forzar PR en lugar de push directo a la rama principal. Loguea mensajes clave como nombre de rama y versión extraída de la fórmula para facilitar auditoría. Usa entornos de pruebas y ramas dedicadas antes de tocar master.

Cómo encaja esto con Q2BSTUDIO. En Q2BSTUDIO aceleramos la entrega continua con automatización robusta en la nube, alineada con estrategias de ciberseguridad y gobierno del dato. Podemos integrar pipelines como el descrito con prácticas de calidad y observabilidad de extremo a extremo, además de conectar despliegues con plataformas de servicios cloud aws y azure. Si buscas impulsar tu CI CD y la eficiencia operativa, descubre nuestra propuesta de automatización de procesos y cómo orquestamos pipelines seguros, escalables y trazables. También diseñamos arquitecturas flexibles sobre nubes públicas y privadas, consulta nuestros servicios cloud azure aws.

Por qué elegirnos. Somos una empresa de desarrollo de software con foco en aplicaciones a medida y software a medida, especialistas en inteligencia artificial y ciberseguridad, además de servicios inteligencia de negocio con power bi. Aplicamos ia para empresas con agentes IA que automatizan tareas de soporte, QA y gobierno del ciclo de vida del software. Unimos DevOps, análisis avanzado y seguridad para llevar tu producto desde la idea hasta producción con calidad y velocidad.

Palabras clave para quienes nos buscan. aplicaciones a medida, software a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA, power bi.

Conclusión. Con una GitHub App como qoomon y una política de emisión bien definida, puedes abrir PRs entre repositorios de forma segura desde GitHub Actions, reduciendo fricción y errores manuales. Este patrón es extensible a muchos escenarios de integración continua y, con el acompañamiento adecuado, se convierte en un pilar de calidad y gobernanza en tu cadena de entrega.