GitHub CLI añade tokens OAuth con vencimiento: cómo activarlos y revisar integraciones

Un token copiado una vez en una variable o un script puede dejar de funcionar cuando vence. El 21 de octubre de 2026, GitHub anunció una vista previa pública de credenciales OAuth con vencimiento y renovación automática en GitHub CLI. El modo es opcional y está pensado para flujos de trabajo en los que la propia CLI gestiona la autenticación.

Cómo activar las credenciales renovables

Necesitas GitHub CLI versión 2.103.0 o posterior. Para un inicio de sesión puntual, añade la opción --expiring:

gh auth login --expiring

Para solicitar credenciales renovables en los siguientes inicios de sesión, ejecuta:

gh config set expiring_credentials enabled

La CLI guarda el token de acceso con vencimiento junto con un token de actualización rotatorio y renueva las credenciales cuando se necesitan. El comando gh auth status muestra el estado de autenticación y la fecha de vencimiento del token actual. La opción solicita credenciales renovables; su emisión depende de las capacidades del host y de la configuración de la aplicación OAuth. Si el servidor no las admite, la CLI utiliza un token convencional sin vencimiento.

Configura Git para que use las credenciales

Para repositorios con HTTPS, configura GitHub CLI como gestor de credenciales de Git:

gh auth setup-git

Así, Git solicita las credenciales a gh, que puede renovarlas antes de usarlas. GitHub recomienda Git versión 2.46 o posterior: permite que la CLI marque las credenciales con vencimiento para que Git no las almacene en caché después de que caduquen. GitHub CLI también funciona con versiones anteriores de Git, aunque muestra una vez una sugerencia para actualizar.

Después de configurarlo, prueba una operación habitual de Git por HTTPS, por ejemplo, consultar el estado del repositorio remoto. Comprueba que Git obtiene las credenciales mediante el gestor: así se prueba todo el proceso de autenticación, no solo el inicio de sesión en la CLI.

Revisa los scripts y las aplicaciones externas

Un posible punto débil es un script o una extensión que ejecuta gh auth token una vez, guarda la cadena y vuelve a utilizarla más adelante: ese token de acceso puede vencer. Si un proceso externo necesita un token, solicita uno nuevo en cada ejecución mediante gh auth token. El consumidor debe poder utilizar el valor actualizado y gestionar el vencimiento del token.

Antes de activar el modo en un entorno de trabajo, revisa las tareas de CI, los scripts locales, las extensiones del editor y las herramientas que obtienen el token de una variable de entorno o un archivo de configuración. Comprueba si solicitan un valor actualizado al iniciarse o si dependen de una copia guardada. Si hay procesos que necesitan un token de larga duración, conserva el método de autenticación anterior.

Disponibilidad

GitHub anunció la compatibilidad en github.com y ghe.com. GitHub Enterprise Server emite estas credenciales a partir de la versión 3.23; en versiones anteriores, la solicitud de credenciales renovables recurre a un token convencional sin vencimiento. Por ahora, el modo es opcional; GitHub planea convertirlo con el tiempo en la opción predeterminada para los nuevos inicios de sesión.

Pasos prácticos: actualiza GitHub CLI, activa la solicitud de credenciales renovables, configura Git con gh auth setup-git y comprueba si los procesos externos guardan el token. Así podrás detectar incompatibilidades antes de cambiar de método.

GitHub publicó más detalles en el anuncio de la vista previa y en la documentación del comando gh auth login.