깃허브 앱 설치 토큰 새 형식 전환 완료…길이 약 520자로 늘어

깃허브가 2일 깃허브 앱 설치 액세스 토큰의 새 발급 형식을 기본값으로 전환하는 단계적 적용을 마쳤다고 밝혔다. 기존 길이에 맞춰 토큰을 저장하거나 검사하는 연동 프로그램은 새 형식을 처리할 수 있는지 점검해야 한다.

기본 토큰 길이 약 40자에서 520자로

새로 발급되는 설치 토큰은 기존과 마찬가지로 ‘ghs_’로 시작하지만 길이는 약 40자에서 약 520자로 늘었다. 깃허브는 새 형식을 ‘ghs_APPID_JWT’로 설명했다. 4월 27일 시작한 단계적 적용이 이번에 완료됐다는 발표다.

설치 토큰은 깃허브 앱이 설치된 저장소에 접근할 때 쓰는 자격 증명이다. 깃허브 공식 문서에 따르면 앱은 기존과 같은 설치 토큰 발급 API를 사용한다. 발급된 토큰의 권한과 접근 가능한 저장소 범위는 새 형식 전환으로 달라지지 않으며 유효기간도 1시간이다.

연동 시스템의 길이 제한·로그 가림 규칙 점검

깃허브는 토큰을 특정 길이나 문자 패턴으로 검사하는 코드, 길이가 짧게 정해진 데이터베이스 필드, 긴 인증 헤더를 잘라내는 중간 장비를 점검 대상으로 들었다. 기존 토큰 패턴만 가리는 로그 규칙도 새 문자열을 누락할 수 있다고 경고했다. 실제 서비스 장애나 유출이 발생했다는 발표는 아니다.

시험용으로 도입했던 ‘X-GitHub-Stateless-S2S-Token’ 요청 헤더는 11월 30일 폐기할 예정이라고 깃허브는 밝혔다. 그 뒤에는 이 헤더를 보내도 반영하지 않는다. 이미 발급된 옛 형식 토큰은 만료될 때까지 작동한다.

이번 변경은 깃허브 앱의 설치 토큰에 관한 것이다. 깃허브가 제시한 조치는 자격 증명을 문자열 자체로 취급하고 길이·모양에 고정된 가정을 없애는 것이다. 독립적인 속도·안정성 개선 수치는 이번 공지에 제시되지 않았다.

출처

깃허브 변경 공지(2026년 10월 2일): https://github.blog/changelog/2026-10-02-stateless-github-app-installation-tokens-rolled-out/

깃허브 앱 설치 토큰 공식 문서(2026년 10월 4일 확인): https://docs.github.com/en/apps/creating-github-apps/authenticating-with-a-github-app/generating-an-installation-access-token-for-a-github-app

대표 이미지: AI 생성 이미지 / 데이마크