GitHub Appのインストールトークンがステートレス形式へ移行完了とは？トークン長・変わらない点・ヘッダー削除の期限を一次情報で解説（2026年10月2日発表）

AI開発ツールアップデート料金改定GitHub

GitHub が GitHub App のインストールトークンをステートレスな ghs_APPID_JWT 形式へ移行する段階的ロールアウトを 2026年10月2日に完了したと発表しました。トークン長は約40文字から約520文字へ変わりますが、権限・リポジトリスコープ・1時間の有効期限・REST API エンドポイントは不変です。2026年11月30日のヘッダー削除期限と、開発者が確認すべき点を一次情報で整理します。

結論から言うと、GitHub App のインストールトークンは、新形式 ghs_APPID_JWT（ステートレス）への段階的ロールアウトが 2026年10月2日に完了し、新規に発行されるトークンはデフォルトでステートレス形式になりました。トークンの長さは従来の約40文字から約520文字に変わりますが、権限・リポジトリスコープ・1時間の有効期限・REST API エンドポイントは変わりません。2026年11月30日までに、テスト用オーバーライドヘッダーを本番コードから取り除く必要があります。以下、出典付きで整理します。

GitHub は 2026 年 4 月 27 日に開始していた GitHub App のインストールトークンをステートレスな形式へ移行する段階的ロールアウトについて、2026年10月2日に完了したと発表しました（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。ロールアウトの完了後、新規に発行されるインストールトークンはデフォルトでステートレスな形式になります。ステートレスとは、トークンの中にアプリ ID と JWT（JSON Web Token）が含まれ、GitHub 側が発行したトークンを保存せずにその場で検証できる形式という意味です。GitHub はこの形式により、トークンの発行と検証が速くなると説明しています。

本稿では、新しいトークン形式とトークン長の変更、変わらない点（権限・スコープ・有効期限・API）、2026年11月30日の期限を含む開発者が確認すべき点を、GitHub Changelog（2026年10月2日発表・2026年10月3日取得）の記載だけから整理します。発表ページに書かれていない値は「公式未公表」として扱います。

ステートレスなインストールトークンとは？旧形式との違い

新しいインストールトークンは ghs_APPID_JWT というステートレス形式で、長さは従来の約40文字から約520文字になります（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。接頭辞の ghs_ は旧形式から変わりません。約520文字という長さは、トークン文字列の中にアプリ ID と JWT が含まれるためです。トークンは従来どおり不透明な文字列として扱うことが、GitHub が開発者に求めている原則です。

• 新しい形式: ghs_APPID_JWT。アプリ ID と JWT を含むステートレスな形式（出典: GitHub Changelog、2026年10月2日）
• トークン長: 従来の約40文字から約520文字へ。接頭辞の ghs_ は不変（出典: GitHub Changelog、2026年10月2日）
• 既存トークン: ロールアウト前に発行された（既存の）トークンは、有効期限が切れるまでこれまでどおり機能します（出典: GitHub Changelog、2026年10月2日）

変わらない点: 権限・リポジトリスコープ・有効期限・API

トークンの権限、リポジトリスコープ、1時間の有効期限、インストールアクセストークンを発行する REST API エンドポイントは、いずれも変更されません（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。つまり、トークンの文字列が長くなる以外の使い方（API 呼び出し時の Authorization ヘッダーへの付与など）は変わりません。アプリの権限設定やインストール先のリポジトリ範囲を扱うコードを修正する必要はありません。

• 権限: トークンに付与される権限は不変
• リポジトリスコープ: インストール先のリポジトリ範囲の扱いは不変
• 有効期限: 1時間のままで不変
• REST API エンドポイント: インストールアクセストークンの発行口は不変（出典: GitHub Changelog、2026年10月2日）

開発者が確認すべき点と2026年11月30日の期限

テスト用オーバーライドヘッダーの X-GitHub-Stateless-S2S-Token は 2026年11月30日に廃止予定で、以後 GitHub はこのヘッダーを参照しなくなります（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。期限までに本番コードからヘッダーを取り除く必要があります。ヘッダー廃止後は、対象となるすべての GitHub App がステートレス形式のトークンを受け取ります。このヘッダーはロールアウト期間中に、ステートレス形式を強制して自社システムの動作を試すための手段として提供されていたものです。

GitHub が開発者に確認を求めているのは、インストールトークンを不透明な文字列として扱っているかどうかです。トークンの文字列そのものを解析したり、長さや形を前提にした扱いをしていたりする箇所があると、約520文字の新しい形式で動かなくなる可能性があります。発表に挙げられている確認点は次の 4 つです（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。

1. 検証まわり: トークンを 40 文字ちょうどと要求する検証や、旧形式の形を前提に書かれた判定がないか。
2. 保存まわり: 固定長または上限の小さい最大長を持つデータベースのカラム、シークレットストア、環境変数がないか。
3. 経路まわり: 長い Authorization ヘッダーを切り詰めたり拒否したりするプロキシ、ゲートウェイ、ミドルウェアがないか。
4. 記録まわり: 旧形式のトークンの形だけに一致するログ出力やシークレットのマスキングルールがないか。

実務的には、GitHub App を使った CI・デプロイ・自動化スクリプトを運用している場合に確認範囲が広がります。トークンを環境変数や設定ファイルに入れている場合、保存先の上限文字数と、トークンをログに出すときのマスキングの正規表現を一度見直すのが、発表の確認点に沿った手順です。GitHub Actions の組み込みトークン（GITHUB_TOKEN）については今回の発表に言及がなく、その点は公式未公表です。

関連記事: GitHub Enterprise の認証情報一括書き出し ／ stage-only npm トークン

よくある質問

Q. インストールトークンが約520文字になったとき、40文字前提の検証がある箇所はどう確認すればよいですか？

A. トークンを 40 文字ちょうどと要求する検証や、旧形式の形を前提にした判定をしている箇所を洗い出し、不透明な文字列として扱う形に直します（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。あわせて、固定長または上限の小さいデータベースのカラム・シークレットストア・環境変数、長い Authorization ヘッダーを切り詰めるプロキシやゲートウェイ、旧形式だけに一致するログのマスキングルールも、発表が挙げている 4 つの確認点として点検対象になります。新しいトークンは ghs_ で始まるため、接頭辞での判定は引き続き使えます。

Q. X-GitHub-Stateless-S2S-Token ヘッダーはいつまで使えますか？

A. 2026年11月30日までです。この日付でヘッダーは廃止予定で、以後 GitHub はヘッダーを参照しなくなります（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。期限までに本番コードからヘッダーを取り除くことが GitHub から求められています。ヘッダーを削除しなくても 2026年11月30日以降は GitHub が無視するため動作はステートレス形式に寄りますが、コードに残したままにする理由はなくなります。

Q. ロールアウト前に発行済みのインストールトークンは使えなくなりますか？

A. 使えます。既存のトークンは、有効期限が切れるまでこれまでどおり機能します（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。インストールトークンの有効期限は 1 時間のため、期限切れ後に発行されるトークンから新しい形式になります。発行済みトークンを長期保存して再利用する運用でも、保存済みの値が無効になる発表はありません。

Q. トークンの権限・有効期限・REST API エンドポイントは変わりますか？

A. 変わりません。トークンの権限、リポジトリスコープ、1時間の有効期限、インストールアクセストークンの REST API エンドポイントは、いずれも不変です（出典: GitHub Changelog、2026年10月2日発表・2026年10月3日取得）。変わるのはトークンの文字列の形式と長さ（約40文字から約520文字）です。トークンを Authorization ヘッダーに付けて API を呼び出す既存コードは、トークン文字列の長さが変わる以外はそのまま動きます。

AI開発ツール速報（当サイト）は、GitHub・OpenAI・Cursor など開発ツールの仕様変更や新機能を、公式発表への出典付きでお届けする速報メディアです。GitHub App や認証情報まわりの更新は CI・自動化の運用手順に直結するため、関連する発表があればあわせて確認できます。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針