GitHub、OAuthアプリに有効期限8時間のトークンと複数リダイレクトURIを追加

GitHubが2026年8月14日のChangelogで、OAuthアプリとGitHub Appに3つの変更を発表。8時間で切れるアクセストークンと6か月のリフレッシュトークン、最大10個のリダイレクトURI、ワイルドカードマッチに対応する。既存アプリ向けの注意喚起もある。

GitHub OAuth security developer-tools API

GitHubは2026年8月14日のChangelogで、OAuthアプリとGitHub Appに3つの変更を加えたと発表しました¹。1つ目はトークンの短命化で、OAuthアプリは有効期限8時間のアクセストークンと有効期間6か月のリフレッシュトークンを要求できます。offline_access スコープを使うかアプリ登録側で強制でき、新規アプリでは既定で有効です¹。2つ目は、最大10個のリダイレクトURIを登録できるようになった点です¹。

3つ目はリダイレクトURIごとのワイルドカードマッチです。GitHubは、リダイレクト先が自身のルーティングを強く管理できていない場合は悪用されうるとして、有効にする前の見直しを促しています¹。あわせて、リダイレクトURIが1つだけのアプリではすでに有効であり、レガシーな挙動が可視化されたものなので不要なら無効にするようレビューを推奨しています¹。これらは GitHub Enterprise Server 3.23 にも含まれる予定です¹。