‏چرا GitHub رو ول کردم و رفتم سراغ Forgejo

از آگوست ۲۰۲۵، GitHub دیگه مدیرعامل مستقل نداره. توماس دُمکه رفت و مایکروسافت جایگزینی براش نگذاشت. به جاش، GitHub کامل جذب دیویژن CoreAI مایکروسافت شد — همون گروهی که Copilot و کل اکوسیستم هوش مصنوعی مایکروسافت رو می‌سازه. این یعنی وقتی الان کد می‌ذاری روی github.com، داری کدت رو می‌ذاری توی یه واحد از سازمان هوش مصنوعی مایکروسافت.

از آوریل ۲۰۲۶ هم یه تغییر مهم دیگه اتفاق افتاد: داده‌های تعامل کاربران Copilot Free، Pro و Pro+ — شامل ورودی‌ها، خروجی‌ها، قطعه‌کدها و context — به‌صورت پیش‌فرض برای آموزش مدل‌های هوش مصنوعی استفاده می‌شه، مگه که کاربر خودش برگرده و آپشن opt-out رو فعال کنه. نکته مهم‌تر اینه که هیچ کنترل سطح مخزن (repository-level) وجود نداره؛ هر contributor باید خودش تنظیماتش رو عوض کنه.

لایه زیرین‌تر ماجرا حقوقیه. GitHub و مایکروسافت شرکت‌های آمریکایی هستن و داده‌هاشون تحت قوانینی مثل FISA Section 702 و CLOUD Act قرار دارن — صرف‌نظر از اینکه سرورها کجای دنیا باشن. حتی وکیل خود مایکروسافت در یه جلسه سنا فرانسه زیر قسم گفت که نمی‌تونه تضمین بده داده‌های اروپایی از دسترسی پنهان دولت آمریکا در امانه. سرویس EU data residency که GitHub ارائه داده مشکل موقعیت جغرافیایی داده رو حل می‌کنه، نه مشکل صلاحیت قضایی رو.

Forgejo یه فورک کاملاً اوپن‌سورس از Gitea هست که در دسامبر ۲۰۲۲ به خاطر نگرانی‌های مربوط به کنترل تجاری از اون جدا شد. از نسخه v9.0 با مجوز GPLv3+ منتشر می‌شه تا در برابر تصاحب تجاری در آینده مقاوم بمونه. حاکمیتش با Codeberg e.V. — یه سازمان غیرانتفاعی آلمانیه — و اعضا سالانه روی بودجه رای می‌دن. نسخه v15.0 LTS در آوریل ۲۰۲۶ منتشر شد و پشتیبانی بلندمدتش تا جولای ۲۰۲۷ ادامه داره.

دولت هلند در ۲۷ آوریل ۲۰۲۶ پلتفرم code.overheid.nl رو راه‌اندازی کرد — یه نمونه self-hosted از Forgejo برای کد منبع سازمان‌های دولتی. انتخاب Forgejo به جای GitLab عمدی بود: GitLab مدل open-core داره و بخش زیادی از قابلیت‌های جدی‌اش پشت تیرهای تجاری قفله، در حالی که Forgejo هیچ تیر پولی نداره.

برای راه‌اندازی یه نمونه self-hosted امن، بخش حساس runner هست، نه خود Forgejo. یه runner ناامن می‌تونه کدهای مخرب از وابستگی‌های npm یا pip رو اجرا کنه و به کل شبکه دسترسی داشته باشه. معماری پیشنهادی شامل پنج لایه دفاعی می‌شه: ایزوله‌سازی با KVM (نه فقط کانتینر)، استفاده از gVisor به عنوان runtime داکر برای رهگیری system callها، بازسازی هفتگی کامل VM، فیلتر egress با nftables که دسترسی به شبکه داخلی رو می‌بنده، و توکن‌های runner با scope محدود.

نکات کلیدی:

• GitHub از آگوست ۲۰۲۵ بخشی از دیویژن CoreAI مایکروسافت شده و مدیرعامل مستقل نداره
• داده‌های Copilot Free/Pro/Pro+ از آوریل ۲۰۲۶ به‌صورت پیش‌فرض برای آموزش AI استفاده می‌شن
• EU data residency مشکل صلاحیت قضایی آمریکا رو حل نمی‌کنه
• Forgejo با مجوز GPLv3 و حاکمیت غیرانتفاعی، آلترناتیو اصلیه
• دولت هلند برای code.overheid.nl سراغ Forgejo رفت، نه GitLab
• بخش چالش‌برانگیز self-hosting، امن‌سازی runner با KVM، gVisor و فیلتر شبکه‌ست