GitHub CLI aggiunge token OAuth in scadenza: come attivarli e verificare le integrazioni

Un token copiato una volta in una variabile o in uno script può smettere di funzionare quando scade. Il 21 ottobre 2026 GitHub ha annunciato l’anteprima pubblica delle credenziali OAuth in scadenza con rinnovo automatico in GitHub CLI. La modalità è facoltativa ed è pensata per i flussi di lavoro in cui è la CLI a gestire l’autenticazione.

Come attivare le credenziali rinnovabili

È necessaria la versione 2.103.0 o successiva di GitHub CLI. Per un singolo accesso, aggiungi il flag --expiring:

gh auth login --expiring

Per richiedere credenziali rinnovabili anche agli accessi successivi, esegui:

gh config set expiring_credentials enabled

La CLI memorizza il token di accesso in scadenza insieme a un refresh token rotante e aggiorna le credenziali quando servono. Il comando gh auth status mostra lo stato dell’autenticazione e la scadenza del token corrente. Il flag richiede credenziali rinnovabili, ma il loro rilascio dipende dalle funzionalità dell’host e dalla configurazione dell’applicazione OAuth. Se il server non le supporta, la CLI usa un token normale senza scadenza.

Configura Git per usare le credenziali

Per i repository HTTPS, configura GitHub CLI come Git credential helper:

gh auth setup-git

In questo modo Git richiede le credenziali a gh, che può aggiornarle prima dell’uso. GitHub consiglia Git versione 2.46 o successiva: permette alla CLI di contrassegnare le credenziali in scadenza, così Git non le mantiene nella cache dopo la loro scadenza. Con una versione meno recente, GitHub CLI funziona comunque, ma propone una sola volta di aggiornare Git.

Dopo la configurazione, prova una normale operazione Git via HTTPS, per esempio la lettura dello stato del repository remoto. Verifica che Git riceva le credenziali tramite l’helper: così controlli l’intero flusso di autenticazione, non soltanto l’accesso alla CLI.

Controlla script e applicazioni esterne

Un possibile punto debole è uno script o un’estensione che esegue gh auth token una volta, salva la stringa e la riutilizza in seguito: quel token di accesso può scadere. Se un processo esterno ha bisogno di un token, richiedine uno aggiornato a ogni esecuzione tramite gh auth token. Il programma che lo usa deve saper gestire il valore corrente e tenere conto della scadenza del token.

Prima di attivare la modalità in un ambiente di lavoro, controlla le attività CI, gli script locali, le estensioni dell’editor e gli strumenti che leggono il token da una variabile d’ambiente o da un file di configurazione. Verifica se richiedono un valore aggiornato all’avvio o si affidano a una copia salvata. Per i processi che necessitano di un token con una validità prolungata, mantieni lo schema di autenticazione precedente.

Dove è disponibile la funzionalità

GitHub ha annunciato il supporto su github.com e ghe.com. GitHub Enterprise Server rilascia queste credenziali dalla versione 3.23; nelle versioni precedenti, la richiesta di credenziali rinnovabili passa a un token normale senza scadenza. Per ora la modalità è facoltativa; GitHub prevede di renderla standard, nel tempo, per i nuovi accessi.

Procedura consigliata: aggiorna GitHub CLI, attiva la richiesta di credenziali rinnovabili, configura Git con gh auth setup-git e controlla che i processi esterni non conservino il token. Questo aiuta a individuare i flussi incompatibili prima del passaggio.

GitHub ha pubblicato i dettagli nell’annuncio dell’anteprima e nella documentazione del comando gh auth login.