GitHub ha dividido dos operaciones sensibles de sus Apps en permisos más estrechos: crear repositorios y gestionar qué repositorios puede ver una instalación. La mejora permite retirar permisos administrativos amplios de automatizaciones sin renunciar a crear proyectos o conectar una App ya aprobada.
El cambio publicado el 13 de octubre añade repository_creation:write e installation_repositories:write tanto a GitHub Apps como a tokens personales de ámbito fino. Antes, crear un repositorio exigía repository_administration:write, que también permite transferirlo o borrarlo.
Una fábrica de repositorios ya no necesita la llave maestra
Una plataforma interna que crea repositorios desde plantillas puede pedir ahora solo permiso de creación. Cuando nace el repositorio, el usuario o la App que lo creó recibe acceso. La instalación de la App continúa necesitando a un administrador de la organización, por lo que el nuevo permiso no elimina la aprobación inicial.
El segundo permiso permite añadir o retirar un repositorio de cualquier instalación dentro de la organización. Si actúa una persona, debe ser propietaria de la organización o administradora del repositorio. La consecuencia práctica es que un controlador puede asignar Apps a repositorios sin conservar un token clásico con alcance repo.
Más autonomía para administradores de repositorio, con un límite
Un administrador de repositorio ya puede añadir a su proyecto una App que el propietario de la organización había aprobado e instalado. GitHub razona que la App ya dispone del acceso organizativo, así que ampliar la instalación a otro repositorio no aumenta ese permiso. La organización puede desactivar esta delegación y reservar las instalaciones a sus propietarios.
Siguen requiriendo aprobación del propietario tres grupos sensibles: todos los permisos de organización, la administración del repositorio y la creación de repositorios. «Menor privilegio» no significa ausencia de control central.
Tokens rotatorios y credenciales
GitHub Apps incorpora además el ámbito offline_access para migrar gradualmente a tokens de usuario cortos y rotatorios. La aplicación recibe un token de refresco junto al de acceso que caduca. El cambio afecta solo a esa autorización; los permisos de la App siguen configurados en su registro.
El soporte de offline_access llegará a GitHub Enterprise Server 3.23. Los permisos nuevos y la nueva pestaña de credenciales están previstos para GHES 3.24. En GitHub.com, los cambios ya están disponibles según el anuncio.
Lista de migración
- Inventariar Apps y PAT clásicos que usan administración solo para crear repositorios.
- Sustituir
repopor el permiso fino de instalación cuando el flujo lo permita. - Rotar credenciales tras reducir permisos; una clave antigua conserva su alcance hasta revocarla.
- Revisar qué administradores pueden ampliar instalaciones a nuevos repositorios.
La aportación propia es mapear cada novedad a una reducción concreta de privilegios. No hay un benchmark que ejecutar: el valor está en disminuir el daño posible de una credencial filtrada y dejar una autorización más fácil de auditar.
Nivel de evidencia: documentación/fuente primaria de GitHub. No se ha localizado una prueba independiente sustancial de estas funciones recién publicadas.
Transparencia: artículo elaborado con asistencia de IA a partir de las fuentes enlazadas. No se han ejecutado los productos o sistemas descritos.
