Le nouveau format est désormais généralisé
GitHub a annoncé le 2 octobre 2026 l’achèvement du déploiement des jetons d’installation stateless pour les GitHub Apps. Commencée le 27 avril, cette transition concerne désormais les nouveaux jetons émis par défaut. Leur longueur passe d’environ 40 à 520 caractères, tout en conservant le préfixe ghs_. Source : GitHub Changelog
Ce changement de format ne modifie ni les permissions, ni le périmètre des dépôts accessibles, ni la durée de validité d’une heure. L’endpoint REST reste également identique. Les anciens jetons demeurent utilisables jusqu’à leur expiration : il ne s’agit donc pas d’une révocation générale des accès existants.
Des contraintes de longueur à vérifier
GitHub recommande de traiter ces jetons comme des chaînes opaques. Les intégrations doivent vérifier leurs validations imposant une longueur de 40 caractères, leurs champs de stockage trop courts et les intermédiaires susceptibles de tronquer l’en-tête Authorization. Le masquage des secrets dans les journaux mérite aussi un contrôle.
L’en-tête temporaire X-GitHub-Stateless-S2S-Token sera déprécié le 30 novembre 2026, puis ignoré. GitHub demande de le retirer après validation du fonctionnement des applications, avant cette échéance.
Les accès restent encadrés par l’installation
La documentation officielle précise que l’application génère d’abord un JWT pour demander un jeton d’installation. L’identifiant utilisé est celui de l’installation, et non celui du client OAuth. La réponse indique l’expiration, les permissions et les dépôts concernés. Source : documentation GitHub
La demande peut restreindre les dépôts et permissions, mais ne peut pas accorder des droits que l’application ne possède pas déjà. Octokit peut gérer la création et le renouvellement du jeton. Le nouveau format ne dispense donc ni de protéger ce secret, ni de respecter les autorisations existantes.
