GitHubは10月2日、GitHub Appのインストールトークンをステートレス形式へ切り替える段階的ロールアウトが完了したと発表した。開始は2026年4月27日で、以後に新規発行されるトークンは既定で ghs_APPID_JWT 形式になる。発行と検証が速くなり、GitHub APIの信頼性も上がる、というのが同社の説明だ。
トークンの接頭辞は従来どおり ghs_ で、長さは約520文字になる。権限、リポジトリの範囲、1時間の有効期限、インストールアクセストークンを発行するREST APIのエンドポイントは変わらない。変更前に発行されたトークンは、期限までそのまま使える。
検証用に用意されていたリクエストヘッダー X-GitHub-Stateless-S2S-Token は、2026年11月30日に廃止される。それ以降、GitHubはこのヘッダーを見ず、対象のアプリは常にステートレスなトークンを受け取る。両方の形式で動作を確認したら、本番コードからこのヘッダーを外す。
壊れやすいのは、トークンを不透明な文字列として扱っていない箇所だ。ちょうど40文字であることを検査する処理、短い固定長のデータベース列やシークレットストア、長い Authorization ヘッダーを切るプロキシ、旧形式だけに一致するログのマスクが該当する。GitHub AppでCIや管理ツールを組んでいる場合は、保存長と正規表現を先に広げ、11月30日より前にヘッダー依存を外す。