Le jeton GITHUB_TOKEN est créé pour chaque exécution et ses droits se limitent avec la clé permissions. Le principe du moindre privilège consiste à n'accorder que ce qui est nécessaire, par exemple contents: read, pour réduire l'impact d'une action compromise.
Exemple
permissions:
contents: read