GitHub Appのインストールトークンが約520文字に。40文字前提の検証は見直しが必要

📖 この記事で分かること

• トークンの長さが40文字から約520文字に変わった
• 接頭辞・権限・有効期限・APIは変わらない
• 長さ固定の検証やパターンは見直しの対象
• 長いヘッダーを扱うプロキシも確認が必要

💡 知っておきたい用語

• ステートレス形式のトークン:トークンの中に必要な情報を持たせる形式。サーバー側で発行済みトークンを照合する手間を減らせる。

最終更新日: 2026年10月4日

▶ 公式ページ

• Stateless GitHub App installation tokens rolled out(GitHub Changelog)

何が変わったのか

この記事のポイント

• GitHubが2026年10月2日、GitHub Appのインストールトークンをステートレス形式に切り替えました。
• 接頭辞は ghs_ のまま、長さが40文字から約520文字(2026年10月時点)に。
• 長さ固定の検証や、長い Authorization ヘッダーを切り詰めるプロキシは確認が必要です。

GitHub Appで自動化やCI連携を組んでいる開発者は、トークンを「40文字の文字列」として扱っている箇所がないかを確かめる必要があります。GitHubは10月2日、GitHub Appのインストールトークンをステートレス形式に切り替えたと公式のChangelogで発表しました。

変化は長さです。トークンは引き続き ghs_ で始まりますが、長さは40文字から約520文字になりました。一方で、トークンの権限、リポジトリの範囲、1時間の有効期限(2026年10月時点)、インストールアクセストークンを発行するREST API【エーピーアイ】のエンドポイントは変わりません。発行の呼び出し方はそのままで、返ってくる文字列だけが長くなる変更です。

影響を受ける箇所

GitHubが見直しの対象として挙げているのは、トークンを受け取ったあとの周辺の処理です。

• 長さを固定した検証: トークンが40文字ちょうどであることを求める検証
• 旧形式向けのパターン: 旧形式のトークンを前提に書かれたパターン
• 経路上の機器やミドルウェア: 長い Authorization ヘッダーを切り詰めたり拒否したりするプロキシ、ゲートウェイ、ミドルウェア

たとえば、社内のAPIゲートウェイを経由してGitHub APIを呼んでいるボットや、入力値チェックでトークン長を40文字に固定している内製ツールが、この条件に当たります。どちらも、GitHub側ではなく利用者側のコードや設定で失敗する点に注意が必要です。

変更前に発行されたトークンは、有効期限が切れるまで使えます。ただし有効期限は1時間なので、旧形式のトークンが残る期間は長くありません。

開発者にとっての意味

GitHubは今回の新形式について、トークンの発行と検証が速くなり、GitHub APIの信頼性が上がると説明しています。利用者側で設定を変えなくても、この改善は受けられます。

確認すべきことは限られています。トークンの長さや形に条件を付けている箇所と、Authorization ヘッダーが通る経路の上限です。権限やスコープ、有効期限の扱いは変わらないため、アクセス制御の設計を見直す必要はありません。

編集部の見方

編集部は、今回の変更で最初に確認すべきなのはアプリのコードより、Authorization ヘッダーが通る経路(プロキシ、ゲートウェイ、ミドルウェア)だと見ています。

• 根拠1: 発行APIのエンドポイント、権限、スコープ、有効期限は変わらないとGitHubが明言しており、トークンを発行して使うだけのコードは変更の影響を受けにくいです。
• 根拠2: GitHubは、長いヘッダーを「切り詰める」機器も対象に挙げています。拒否なら認証エラーで気付けますが、切り詰めは壊れたトークンが届く形になり、原因の特定に時間がかかりやすいです。
• 根拠3: 旧トークンが使えるのは有効期限の1時間以内に限られるため、問題があれば切り替え直後から表面化します。様子を見る余地はほとんどありません。

この見方が変わる条件は、構成にプロキシやゲートウェイを挟まず、トークンを文字列のまま受け渡しているだけの場合です。そのときは、長さや形をチェックしている内製の検証コードの確認が中心になります。

よくある質問

Q: トークンの発行方法を変える必要はありますか?

A: GitHubは、インストールアクセストークンのREST APIエンドポイントは変わらないとしています。発行の呼び出しはそのままで、返ってくるトークンが長くなります。

Q: 権限や有効期限の扱いは変わりますか?

A: 変わりません。GitHubは、権限、リポジトリの範囲、1時間の有効期限がいずれも従来どおりだと説明しています。

Q: すでに発行済みのトークンはどうなりますか?

A: 変更前に発行されたトークンは、有効期限が切れるまで使えます。有効期限は1時間なので、旧形式のトークンは短時間でなくなります。

まとめ

GitHub Appのインストールトークンは、ghs_ の接頭辞を保ったまま約520文字のステートレス形式に切り替わりました。権限や有効期限、発行APIは変わらず、影響は40文字前提の検証やパターン、長いヘッダーを扱う経路に集中します。旧トークンは1時間で期限が切れるため、該当する箇所は早めに確認しておくと安全です。

【用語解説】

• インストールトークン: GitHub Appが、インストール先のリポジトリや組織に対してAPIを呼ぶために発行する短期間有効なトークン。
• Authorization ヘッダー: HTTPリクエストで認証情報を送るためのヘッダー。GitHub APIではここにトークンを入れて送る。

引用元:

• [1] Stateless GitHub App installation tokens rolled out(GitHub Changelog)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。