GitHub CLI adiciona tokens OAuth com expiração: como ativar e verificar integrações

Um token copiado uma vez para uma variável ou script pode deixar de funcionar quando expirar. Em 21 de outubro de 2026, o GitHub anunciou a prévia pública de credenciais OAuth com expiração e renovação automática na GitHub CLI. O recurso é opcional e foi pensado para fluxos de trabalho nos quais a própria CLI gerencia a autenticação.

Como ativar as credenciais renováveis

É necessária a versão 2.103.0 ou posterior da GitHub CLI. Para uma única autenticação, adicione a opção --expiring:

gh auth login --expiring

Para solicitar credenciais renováveis nas próximas autenticações, execute:

gh config set expiring_credentials enabled

A CLI armazena o access token com expiração junto com um refresh token rotativo e renova as credenciais quando necessário. O comando gh auth status mostra o estado da autenticação e a validade do token atual. A opção solicita credenciais renováveis; a emissão depende dos recursos do host e da configuração do aplicativo OAuth. Se o servidor não oferecer suporte, a CLI usará um token convencional sem expiração.

Configure o Git para usar as credenciais

Para repositórios com HTTPS, configure a GitHub CLI como auxiliar de credenciais do Git:

gh auth setup-git

Assim, o Git solicita as credenciais ao gh, que pode renová-las antes do uso. O GitHub recomenda o Git versão 2.46 ou posterior: essa versão permite que a CLI marque as credenciais com expiração, para que o Git não as mantenha em cache após o vencimento. Com versões mais antigas, a GitHub CLI também funciona, mas sugere uma atualização uma vez.

Depois da configuração, teste uma operação comum do Git por HTTPS, como consultar o estado do repositório remoto. Confirme que o Git obtém as credenciais pelo auxiliar: isso verifica todo o fluxo de autenticação, não apenas a entrada na CLI.

Verifique scripts e aplicativos externos

Um ponto vulnerável é um script ou extensão que executa gh auth token uma vez, armazena o valor e o reutiliza mais tarde: esse access token pode expirar. Se um processo externo precisar de um token, solicite um novo a cada execução com gh auth token. O próprio consumidor precisa conseguir usar o valor atualizado e lidar com a expiração do token.

Antes de ativar o recurso em um ambiente de trabalho, verifique tarefas de CI, scripts locais, extensões de editor e ferramentas que obtêm o token de uma variável de ambiente ou de um arquivo de configuração. Descubra se elas solicitam um valor atualizado ao iniciar ou se dependem de uma cópia armazenada. Para processos que exigem um token de longa duração, mantenha o método de autenticação atual.

Onde o recurso está disponível

O GitHub anunciou suporte em github.com e ghe.com. O GitHub Enterprise Server emite essas credenciais a partir da versão 3.23; em versões anteriores, uma solicitação de credenciais renováveis é convertida em um token convencional sem expiração. Por enquanto, o recurso é opcional; o Git planeja torná-lo padrão para novas autenticações no futuro.

Ordem prática: atualize a GitHub CLI, ative a solicitação de credenciais renováveis, configure o Git com gh auth setup-git e verifique se processos externos armazenam o token. Isso ajuda a identificar cenários incompatíveis antes da mudança.

O GitHub publicou os detalhes no anúncio da prévia e na documentação do comando gh auth login.