Токены GitHub App выросли до ~520 символов: роллаут stateless-формата завершён

GitHub завершил поэтапный переход на stateless-токены установки для приложений: с конца rollout новые токены выпускаются как ghs_APPID_JWT — около 520 символов при прежнем префиксе ghs_, вместо 40. Формат без серверного состояния должен ускорить выдачу и проверку и снизить сбои API.

Права, ограничение по репозиториям, час жизни и тот же REST endpoint для installation access token не менялись. Раскатку начали 27 апреля 2026 года; уже выданные строки работают до истечения.

Где чаще ломается

В документации токен — непрозрачная строка. На практике ломается обвязка, а не сам GitHub:

• проверки «ровно 40 символов» или regex под legacy-формат;
• поля в БД, secret store и переменные окружения с жёстким лимитом длины;
• прокси, шлюзы и middleware, обрезающие длинный заголовок Authorization;
• правила маскирования в логах только под короткий шаблон.

Для теста нового формата можно было слать заголовок X-GitHub-Stateless-S2S-Token. Его перестанут учитывать 30 ноября 2026 года — после этой даты все подходящие приложения всегда получают stateless-токены. Когда оба варианта проверены, заголовок нужно убрать из продакшена до дедлайна.

Источник: Stateless GitHub App installation tokens rolled out.