GitHub mijenja format App installation tokena: s 40 na ~520 znakova, breakage rizik za CI/CD pipelineove

GitHub je 24. travnja 2026. najavio značajnu promjenu formata App installation tokena koja kreće u faznu produkciju već 27. travnja 2026. Promjena ima potencijal slomiti integracije i CI/CD pipelineove koji su tvrdo kodirali dosadašnju 40-znakovnu dužinu tokena — što uključuje veliki broj custom skripti i database shema u produkciji.

Što je točno novi format?

Stari format izgleda ovako: ghs_ + 36 alfanumeričkih znakova = 40 znakova ukupno. Novi format je strukturiran kao JWT (JSON Web Token) s prefiksom ghs_APPID_JWT i ukupnom dužinom od oko 520 znakova, s napomenom da će se “vary based on the data stored within it” — drugim riječima, dužina nije fiksna nego ovisi o sadržaju. JWT je standardizirani format (RFC 7519) za sigurni prijenos podataka u JSON formatu, kriptografski potpisan tako da se može verificirati integritet bez poziva natrag na server. Prema GitHub objavi, JWT “contains details about the token such as the target installation, the application, and basic validation details”.

Tko je pogođen i kada?

GitHub rollout dijeli u dvije faze. Faza 1 (27. travnja — sredina svibnja 2026.) pokriva GitHub Actions GITHUB_TOKEN i tzv. featured integrations poput Dependabota, Slack i Teams integracija. Faza 2 (sredina svibnja — kraj lipnja 2026.) obuhvaća sve App installation tokene, uključujući korisnike GitHub Enterprise Cloud i okruženja s Data Residency zahtjevima (EU, Australija, druge regije). Praktično — svaka organizacija koja koristi GitHub Apps za autentifikaciju u CI/CD pipelineovima trebala bi se pripremiti odmah.

Što developeri MORAJU napraviti?

GitHub je vrlo eksplicitan oko tri ključne akcije:

1. Database schema: “Any database columns for access tokens can fit at least a 520 character string” — provjeriti da svi stupci u koje se sprema token podržavaju barem 520 znakova. Tipičan VARCHAR(40) ili VARCHAR(64) više neće raditi.
2. Regex provjere: Ukloniti sve regex paterne tipa ghs_[A-Za-z0-9]{36} koji su se koristili za validaciju formata tokena. Novi format ima podvlake i znakove koji ne odgovaraju starom uzorku.
3. Length checkovi: “Your apps do not take a dependency on access tokens being a certain length” — bilo kakva logika koja pretpostavlja fiksnu dužinu od 40 znakova mora se prepraviti.

Zašto GitHub ovo radi?

Sigurnosna i performance motivacija. JWT format omogućuje stateless validaciju — server ne mora pri svakom pozivu raditi DB lookup da provjeri valjanost tokena, već može verificirati potpis lokalno. GitHub navodi da promjena “improves token issuance performance under increased load” i donosi “higher reliability at scale”. Drugim riječima — GitHub priprema svoju autentifikacijsku infrastrukturu za rast obima poziva koji dolazi s eksplozijom AI agenata i automatiziranih bot integracija.

Što ako ignoriram promjenu?

Aplikacije koje pretpostave staru dužinu počet će raditi greške pri prvom susretu s novim tokenom. Najčešći simptomi: DB INSERT failovi (truncated string), regex validation rejecti, Authorization header parser greške. Preporučljivo je proaktivno auditirati sve repozitorije i custom Actions u sljedećim danima prije nego što rollout sustigne organizaciju.