Τα νέα installation tokens φτάνουν περίπου…

Η συνοδευτική εικόνα αποτελεί ενδεικτική εικονογράφηση AI και όχι πραγματική φωτογραφία ή ακριβή απεικόνιση υπηρεσίας ή προϊόντος.

Το GitHub ολοκλήρωσε στις 2 Οκτωβρίου 2026 τη σταδιακή μετάβαση των installation access tokens για GitHub Apps σε νέα, stateless μορφή. Η αλλαγή δεν προσθέτει δικαιώματα ούτε μεταβάλλει τον τρόπο με τον οποίο μια εφαρμογή ζητά token από το REST API. Αλλάζει, όμως, αισθητά το μήκος και τη μορφή του μυστικού, κάτι που απαιτεί έλεγχο συμβατότητας σε εφαρμογές, βάσεις δεδομένων και συστήματα αυτοματισμού.

Όλα τα νέα installation tokens εκδίδονται πλέον από προεπιλογή με μορφή ghs_APPID_JWT. Σύμφωνα με την επίσημη ανακοίνωση, το μήκος τους είναι περίπου 520 χαρακτήρες, έναντι 40 χαρακτήρων της προηγούμενης μορφής. Το GitHub αναφέρει ότι η stateless αρχιτεκτονική επιταχύνει την έκδοση και την επικύρωσή τους, μειώνει την εξάρτηση από αποθηκευμένη κατάσταση και βελτιώνει την αξιοπιστία του API.

Για τους προγραμματιστές, το κρίσιμο σημείο δεν είναι μια νέα διαδικασία αυθεντικοποίησης, αλλά οι παλιές τεχνικές παραδοχές. Πεδία βάσεων δεδομένων με σταθερό μικρό μήκος, μεταβλητές περιβάλλοντος, secret stores, proxies και gateways πρέπει να μπορούν να χειριστούν το μεγαλύτερο token χωρίς περικοπή. Χρειάζεται επίσης αναθεώρηση σε regular expressions που αναγνωρίζουν μόνο την παλιά μορφή, καθώς και στους κανόνες απόκρυψης μυστικών από logs και εργαλεία παρακολούθησης.

Οι άδειες πρόσβασης, ο περιορισμός σε συγκεκριμένα repositories και η διάρκεια ισχύος μίας ώρας παραμένουν αμετάβλητα. Το ίδιο ισχύει και για το endpoint δημιουργίας token. Τα παλαιότερα tokens δεν ακυρώνονται απότομα: συνεχίζουν να λειτουργούν μέχρι τη φυσιολογική λήξη τους.

Κατά τη μεταβατική περίοδο, το GitHub είχε διαθέσει την προσωρινή κεφαλίδα αιτήματος X-GitHub-Stateless-S2S-Token για ελεγχόμενη ενεργοποίηση της νέας μορφής. Η κεφαλίδα έχει πλέον καταστεί περιττή και θα αποσυρθεί στις 30 Νοεμβρίου 2026. Οι ομάδες που την πρόσθεσαν μπορούν να την αφαιρέσουν αφού πρώτα επιβεβαιώσουν ότι οι υπηρεσίες τους αποθηκεύουν, μεταφέρουν και αποκρύπτουν σωστά τα νέα tokens.

Η ολοκλήρωση της μετάβασης αποτελεί κυρίως προειδοποίηση συμβατότητας και όχι ανακοίνωση περιστατικού ασφαλείας. Όσοι διαχειρίζονται GitHub Apps καλό είναι να εκδώσουν ένα νέο installation token σε περιβάλλον δοκιμών, να ελέγξουν ολόκληρη τη διαδρομή του και να επιβεβαιώσουν ότι δεν εμφανίζεται σε logs. Έτσι αποφεύγονται δυσλειτουργίες που μπορεί να προκύψουν από τη μεγάλη αύξηση του μήκους, χωρίς αλλαγή της υφιστάμενης πολιτικής δικαιωμάτων.

Πηγή: GitHub Changelog · GitHub Docs