GitHub App 설치 토큰 형식 전환 완료
새로 발급되는 GitHub App 설치 토큰이 stateless ghs_APPID_JWT 형식으로 바뀌었습니다.
교안에 영향
설치 토큰이 더 길어져 40자 고정 길이나 기존 형식만 가정한 안내 글은 더 이상 맞지 않습니다.
요약
- 새로 발급되는 GitHub App installation token은 기본적으로 stateless ghs_APPID_JWT 형식을 사용합니다. - 토큰 길이는 약 520자로 늘었지만, 권한·리포지토리 범위·1시간 만료·REST API 엔드포인트는 그대로입니다. - 변경 전 발급된 토큰은 만료될 때까지 계속 사용할 수 있습니다. - X-GitHub-Stateless-S2S-Token 요청 헤더는 2026-11-30에 지원 종료되며, 이후에는 모든 적격 앱이 항상 stateless 토큰을 받습니다.
바뀐 것
새 기능
- 새로 발급되는 GitHub App installation token이 stateless ghs_APPID_JWT 형식으로 전환되었습니다.
개선
- 토큰 발급과 검증이 더 빨라지고 GitHub API의 신뢰성이 향상되었습니다.
- 설치 토큰은 계속 ghs_ 접두사를 사용하지만 길이가 약 40자에서 약 520자로 늘었습니다.
- 토큰 권한, repository scoping, one-hour expiration, installation access token REST API endpoint는 변경되지 않았습니다.
- 변경 전 발급된 토큰은 만료 시점까지 계속 유효합니다.
기타
- 설치 토큰을 다루는 시스템은 토큰을 불투명 문자열로 취급하고, 고정 길이 검증이나 짧은 길이 제한, 긴 Authorization 헤더 차단, 기존 패턴에만 맞는 로그·마스킹 규칙을 점검해야 합니다.
지원 종료
- temporary X-GitHub-Stateless-S2S-Token request header는 2026-11-30에 지원이 종료됩니다.