GitHub presentó el 21 de octubre de 2026 una preview pública de credenciales OAuth con vencimiento y renovación automática para GitHub CLI. Es una mejora relevante para estaciones de desarrollo y herramientas que acceden a repositorios, incidencias o pull requests con gh.
Cómo funciona
GitHub CLI conserva un access token temporal junto con un refresh token rotatorio. Cuando necesita renovar el acceso, gestiona el intercambio. El vencimiento limita la vida útil de un access token expuesto, pero sigue siendo necesario proteger el equipo y la credencial de renovación.
La función es optativa desde GitHub CLI 2.103.0. El anuncio indica disponibilidad en github.com y ghe.com, y en GitHub Enterprise Server desde 3.23. Un servidor sin soporte puede devolver una credencial sin vencimiento: debe comprobarse el resultado real.
Activación controlada
En una estación de prueba, confirmar la versión instalada e iniciar sesión solicitando credenciales temporales:
gh --version
gh auth login --expiring
gh auth setup-git
gh auth statusPara Git por HTTPS, gh debe gestionar la credencial. Git 2.46 o posterior es la versión recomendada para evitar que otros mecanismos de caché conserven tokens más allá de su vigencia.
Qué revisar antes de extenderlo
Inventariar scripts y extensiones que copian un token una vez y lo reutilizan. Esa copia puede caducar. La documentación explica cómo obtener el token vigente cuando otra herramienta lo necesita; debe evitarse imprimirlo en logs. En GitHub Actions se mantiene el patrón de autenticación con el token que proporciona el workflow.
Comprobar el almacenamiento seguro: si no existe un keyring disponible, la CLI puede guardar credenciales en un archivo de texto. Al ampliar scopes mediante gh auth refresh, conservar la opción --expiring para no sustituir accidentalmente la credencial temporal por una permanente.
Prueba recomendada
Utilizar un repositorio de prueba, verificar operaciones de lectura y Git por HTTPS, y repetirlas después del vencimiento inicial para observar la renovación. Documentar las extensiones que requieran ajustes antes de ampliar el piloto. Esta es una propuesta de validación; no se presentan resultados de una implementación ejecutada.
Fuentes oficiales
- GitHub Changelog: credenciales OAuth temporales en GitHub CLI, 21 de octubre de 2026.
- GitHub Docs: autenticación con GitHub CLI.