GitHub App installation token stateless: cosa controllare nelle automazioni CI/CD

2026-10-04

GitHub ha completato il rollout dei GitHub App installation token in formato stateless . Dal 2 ottobre 2026, secondo il changelog ufficiale, i nuovi token emessi per le installazioni delle GitHub App usano di default il formato ghs_APPID_JWT . L’obiettivo dichiarato è rendere più rapida l’emissione e la validazione dei token e migliorare l’affidabilità della GitHub API. Per molte organizzazioni questa modifica non richiede una migrazione funzionale: permessi, scope sui repository, scadenza di un’ora e endpoint REST per creare installation access token restano invariati. Il punto critico è un altro: i token continuano a iniziare con il prefisso ghs_ , ma passano da circa 40 caratteri a circa 520 caratteri. Chi ha scritto automazioni assumendo una lunghezza fissa, una regex troppo stretta o header HTTP piccoli può trovarsi davanti a errori non evidenti. La novità riguarda in modo diretto team DevOps, maintainer di integrazioni SaaS, agenzie che gestiscono pipeline per più clienti, software house con GitHub App interne e aziende che usano GitHub come sorgente per deploy, controlli di sicurezza, provisioning o sincronizzazioni. Se vuoi verificare un’integrazione critica prima che diven