chore(ci): restrict deploy and release secrets to protected environments (#977)

Author: antonreshetov

.github/workflows/deploy-docs.yml

@@ -3,10 +3,16 @@ name: Deploy Docs
 on:
   workflow_dispatch:
 
+permissions:
+  contents: read
+
 jobs:
   deploy:
     name: Build & Deploy
     runs-on: ubuntu-latest
+    # Секреты деплоя лежат в environment, который разрешён только для main:
+    # запуск с произвольной ветки не получит SSH-ключ сервера.
+    environment: docs-production
 
     steps:
       - name: Checkout code

.github/workflows/release.yml

@@ -11,10 +11,16 @@ on:
         required: true
         default: v4.0.0
 
+permissions:
+  contents: write
+
 jobs:
   build:
     name: Build for ${{ matrix.os }}
     runs-on: ${{ matrix.os }}
+    # Сертификат подписи и Apple-креды доступны только из environment,
+    # разрешённого для тегов v*.
+    environment: release
     env:
       NODE_OPTIONS: --max-old-space-size=4096
     strategy: