Elige una GitHub App cuando la automatización deba sobrevivir a una persona y actuar con permisos por repositorio; OAuth cuando la acción deba representar al usuario; y un PAT de grano fino para un script personal o una prueba acotada. La pregunta decisiva es quién actúa, no qué opción resulta más rápida de crear.
La elección rápida por caso
| Caso | Conviene | Motivo |
|---|---|---|
| Servicio de CI, bot o agente de organización | GitHub App | Identidad propia, repositorios elegidos, permisos finos y tokens de instalación de una hora |
| Aplicación que necesita operar como la persona conectada | OAuth app | El token representa al usuario y hereda el acceso que conserva |
| Script propio, temporal y de pocos repositorios | PAT de grano fino | Creación directa, propietario, repositorios, permisos y caducidad definidos |
GitHub recomienda en general GitHub Apps para integraciones. La excepción documentada es el acceso a recursos del nivel de empresa que una GitHub App todavía no puede recibir; una OAuth app puede cubrir ese caso.
Comparación con condiciones compatibles
| Criterio | GitHub App | OAuth app | PAT de grano fino |
|---|---|---|---|
| Identidad | App o usuario, según flujo | Usuario | Usuario propietario |
| Repositorios | Elegidos al instalar | Los accesibles por el usuario y los scopes | Seleccionados al crear el token |
| Permisos | Por recurso y nivel | Scopes más amplios | Permisos finos compatibles con el endpoint |
| Caducidad típica | Token de instalación: una hora | Larga por defecto; puede usar tokens renovables | Fecha elegida, limitada por política |
| Si la persona se marcha | La instalación puede seguir | Pierde acceso con el usuario | Está vinculada al usuario |
| Webhooks | Centralizados e incluidos | Se configuran por repositorio u organización | No son una capacidad propia del token |
Cuándo un PAT sigue siendo razonable
Un PAT de grano fino sirve para uso personal de la API o línea de comandos cuando puedes fijar propietario, repositorios, permisos y fecha de caducidad. GitHub limita a 50 estos tokens por usuario y recomienda considerar una GitHub App si necesitas más o estás construyendo automatizaciones. Un token no convierte un proceso personal en un servicio gobernable.
No uses un PAT clásico por costumbre. GitHub recomienda el formato de grano fino cuando sea posible. Comprueba además que el endpoint deseado lo admite y qué permiso exige.
Una decisión en cuatro preguntas
- ¿Debe actuar sin usuario? Si sí, empieza por GitHub App.
- ¿Debe representar decisiones de una persona? Evalúa OAuth o el flujo de usuario de una GitHub App.
- ¿Es una prueba personal y limitada? Un PAT de grano fino puede ser suficiente.
- ¿Necesita objetos del nivel de empresa? Confirma la cobertura de endpoints; puede justificar OAuth.
Después define permisos mínimos, repositorios, caducidad, rotación, responsable y forma de revocar. La identidad para servicios de Copilot resuelve otro caso concreto; no sustituye elegir cómo se autentica tu propia integración.
Texploto no creó ninguna credencial para esta comparación. Las duraciones y capacidades proceden de la documentación vigente y pueden estar sujetas a políticas de organización o empresa.
Transparencia: comparación elaborada con asistencia de IA a partir de cuatro documentos oficiales de GitHub. No hemos ejecutado una integración.
