#Forgejo

Wenn dieselben Ordner auf zwei Rechnern liegen sollen, nehme ich Versionsverwaltung statt Dateisync. Meine Arbeitsordner lagen früher in Nextcloud, und dort steht bis heute ein veralteter Zwilling mit neunzehn statt neunundzwanzig Einträgen, inklusive eines Projekts, das ich längst beerdigt habe. Seit dem zehnten August hängt der zweite Rechner stattdessen an Forgejo, und jeder Arbeitsplatz holt sich denselben nachvollziehbaren Stand. Ein Sync kennt nur den letzten Schreiber, eine Historie kennt den Weg dorthin.

Sicherheitsregeln für öffentliche Plattformen muss man nicht ungeprüft übernehmen, man muss wissen, wogegen sie schützen. In allen dreiundzwanzig meiner Repositories stand eine Ausschlussliste aus der GitHub-Welt, die Schlüssel- und Zugangsdateien grundsätzlich draußen hielt. Mein Forgejo läuft auf eigener Hardware und hat genau drei Konten, die alle mir gehören, also habe ich die Liste umgedreht: draußen bleibt nur, was auf jedem Rechner ohnehin neu entsteht. Eine Regel ohne ihren Grund ist nur noch eine Gewohnheit.

Dass ein Backup-Job seit Wochen nichts mehr sichert, merkt man nur, wenn er sich auch dann meldet, wenn er läuft, nicht bloß wenn er scheitert. Unser Forgejo-Backup-Skript war spurlos verschwunden, der nächtliche Auftrag lief ins Leere, und rund 2,9 GB Repositorien lagen wochenlang ungesichert, ohne dass es jemand bemerkte. Jetzt pusht jeder Job nach getaner Arbeit ein Signal an Uptime Kuma, bleibt es aus, klingelt es. Ein stiller Job sieht aus wie ein erledigter, bis man ihn braucht.

Ein versehentlich committetes Passwort wieder zu löschen reicht nicht, denn die Versionsverwaltung behält jede frühere Fassung. Beim Aufräumen meiner Infrastruktur-Dokumentation fand ich in einem Forgejo-Repo mehrere Klartext-Passwörter in alten Skripten. Ich ersetze sie jetzt durch Platzhalter, die nur auf den Passwortspeicher verweisen, aber die alten Werte stehen längst in der Historie und gelten damit als verbrannt, also setze ich sie neu. Was einmal eingecheckt ist, lässt sich verstecken, aber nicht zurücknehmen.

Ein öffentliches Repository auf privat zu stellen reicht nicht, man muss prüfen, ob Suchmaschinen es schon gespeichert haben, solange es offen war. Nachdem ich alle Forgejo-Repos privat gestellt hatte, habe ich es mit vier unabhängigen Prüfungen kontrolliert: Exakt-Suchen nach den einmaligen Repo-Namen, die anonyme Übersichtsseite und der direkte Aufruf, der jetzt mit 404 antwortet. Alle vier waren negativ. Privat schalten ist der erste Schritt, nachsehen, was schon nach draußen gelangt ist, der zweite.