GitHub App インストールトークンの新形式導入に関するお知らせ
本文の状態
日本語全文を表示中
詳細モードで約4分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
GitHub Changelog
GitHubは2026年4月より、インストールトークンの新形式を段階導入する。この変更により、40文字固定を前提とするアプリは動作しなくなる可能性がある。
Continue in AI NEW LAB
このニュースを、実務の判断につなげる
AI NEW LABで、試したことや先に確認したい条件を共有できます。まずはログインなしで読めます。
AI NEW LABで論点を見るSource Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
2026年4月27日より、今後数週間にわたって段階的ロールアウト（staged rollout）を開始し、新たに発行されるGitHub Appインストールトークンの形式を更新します。これによりパフォーマンスが向上し、APIサーフェス（API surface）の信頼性も高まります。もしアプリケーションがインストールトークンの長さが正確に40文字であることを前提としている場合、この新しいトークン形式を正しく処理できない可能性があります。
What is changing?
現在、GitHub Appインストールトークンのために新しいステートレス（stateless）トークン形式をサポートしており、これにより負荷増加時のトークン発行パフォーマンスが向上し、大規模なスケールでのより高い信頼性の提供が可能になります。
新たに発行されるGitHub Appインストールトークンは、以下の更新された形式を使用します。
トークンの全体的な長さはより長くなり（約520文字）、内部に格納されるデータに応じて変動します。
インストールトークン（ghs_ トークン）の形式は、ghs_APPID_JWT に変更されます。
注：GitHubのトークンタイプのプレフィックスは変更されず、インストールトークンは引き続き ghs_ で始まる点にご注意ください。
このJWT（JSON Web Token）はGitHub内部の発行者によって署名されており、クライアントアプリケーションで検証することはできませんし、行うべきでもありません。これにはターゲットのインストール先やアプリケーション、基本的な検証情報などのトークンに関する詳細が含まれています。すべてのアクセストークン（access token）と同様、クライアントアプリケーションはこのJWTの内容に依存してはいけません。
Scope
既存のAppインストールトークンは、有効期限が切れるまで引き続き動作します。
この変更は、GitHub Enterprise Cloud および Data Residency 環境に適用されます。GitHub Enterprise Server はこの変更の影響を受けません。
今後のロールアウトでは、Actions の GITHUB_TOKEN を含む GitHub App インストール サーバー間トークン（server-to-server tokens）のみに対して、新しいトークン形式が適用されます。
現時点では対象外ですが、Copilot のコードレビューフロー（code review flows）で使用されるユーザーからサーバーへのトークン（user-to-server tokens）に関する形式変更の詳細については、今後数週間で共有いたします。
今後数週間で予想されること
今後数週間で、GitHub App インストールトークンの形式変更に関する段階的なロールアウト（staged rollout）を実施いたします。
4月27日～5月中旬（2026年）：更新された形式の段階的なロールアウトを、GitHub Actions が発行する GITHUB_TOKEN およびその他の公式ファーストパーティ統合（例：Dependabot、Slack、Teams）に発行される GitHub App インストールトークンに対して開始いたします。既存の Actions ワークフロー（Actions workflows）には影響しないはずです。この変更が Actions ワークフローに影響を与えており、一時的に変更をオプトアウト（opt-out）したい場合は、GitHub サポートまでお問い合わせください。
2026年5月中旬から6月下旬にかけて：更新された形式をすべてのGitHub Appインストールトークンに対して段階的な展開（staged rollout）を開始します。今後数週間で、この変更をより広く展開する前に、これらの新しいトークンをローカルでテストしてGitHub Appが期待どおりに動作し続けることを検証する方法に関するさらなるガイダンスを提供します。トークンの形式に関する前提条件にまだ依存している統合を特定するためのブラウンアウト期間（brownout period）を導入し、その後で更新された形式の広範な有効化を行います。
この変更への準備方法
トークンを透過性のない文字列（opaque string）として扱い、ハードコードされたパターンに対して検証しないことを推奨します。
この変更への準備を支援するために、以下の事項を確認してください：
アプリケーションがアクセストークン（access token）の特定の長さに依存していないこと。
コードベース内にトークンを検証する正規表現（regex）が ghs_[A-Za-z0-9]{36} のように存在しないこと。これらは新しいトークンと一致しない可能性があります。
アクセストークン用のデータベースカラムが、少なくとも520文字の文字列を格納できるサイズであること。
GitHubコミュニティ内のディスカッションに参加してください。
「GitHub Appインストールトークンの今後の新形式に関するお知らせ」の記事は、The GitHub Blog で最初に公開されました。
原文を表示
Starting April 27th 2026 and over the coming weeks, we will begin a staged rollout that updates the format of newly minted GitHub App installation tokens, making them more performant and improving the reliability of our API surface. If your application expects or relies on installation tokens being exactly 40 characters long, it may not handle this new token format correctly.
What is changing?
We’re now supporting a new, stateless token format for GitHub App installation tokens that improves token issuance performance under increased load and helps us deliver higher reliability at scale.
Newly issued GitHub App installation tokens will use an updated format with the changes below:
The overall length of the tokens will be longer (~520 characters) and will vary based on the data stored within it.
The token format for installation tokens (ghs_ tokens) will be changing to ghs_APPID_JWT.
Note that the prefixes for any of the GitHub token types is not changing and installation tokens will still be prefixed with ghs_.
The JWT is signed using a GitHub-internal issuer and cannot nor should not be validated by a client app. It contains details about the token such as the target installation, the application, and basic validation details. As with all access tokens, client apps must not take a dependency on the contents of this JWT.
Scope
Existing App installation tokens continue to work until they expire.
This change applies to GitHub Enterprise Cloud and Data Residency environments. GitHub Enterprise Server isn’t impacted by this change.
Upcoming rollouts will apply the new token format only to GitHub App installation server-to-server tokens, including Actions GITHUB_TOKEN.
Not in scope yet, but we’ll share more details in the coming weeks on planned format changes for user-to-server tokens used in Copilot code review flows.
What to expect over the next few weeks
In the coming weeks, we will be doing a staged rollout for the format changes to GitHub App installation tokens:
April 27 – mid-May 2026: We’ll begin a staged rollout of the updated format to GitHub Actions-issued GITHUB_TOKEN and the GitHub App installation tokens issued to all the other first-party featured integrations (e.g., Dependabot, Slack, and Teams). This should not impact your existing Actions workflows. Reach out to GitHub Support if you see this change affecting your Actions workflows and want to temporarily opt-out of the change.
Mid-May to late-June 2026: We’ll begin a staged rollout of the updated format to all the GitHub App installation tokens. We will be providing more guidance over the coming weeks on how to test these new tokens locally to validate that your GitHub Apps continue to work as expected before we roll out the change more broadly. We’ll introduce a brownout period to identify integrations that still depend on token format assumptions, followed by broad enablement of the updated format.
How to prepare for this change
It’s recommended that you treat tokens as opaque strings and avoid validating them against hardcoded patterns.
To help prepare for this change, ensure that:
Your apps do not take a dependency on access tokens being a certain length.
There are no regexes in your codebase such as ghs_[A-Za-z0-9]{36} that validate a token. These may not match the new tokens.
Any database columns for access tokens can fit at least a 520 character string.
Join the discussion within GitHub Community.
The post Notice about upcoming new format for GitHub App installation tokens appeared first on The GitHub Blog.
News to Guide
ニュースの次に確認する
発表内容を、現在の料金や仕様と照らし合わせられる関連ガイドです。
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み