Три записи из changelog выглядят скучно, но именно такие вещи останавливают сборки в пятницу вечером. ###
Токены приложений: 40 символов превратились в 520
Поэтапный переход на stateless-формат `ghs_APPID_JWT` начался 27 апреля 2026 года и завершён.
Токены по-прежнему начинаются с `ghs_`, срок жизни составляет час, права и область репозиториев прежние.
Длина выросла примерно до 520 символов.
Если поле под токен в вашей системе ограничено 255 символами, или токен проходит через лог-маскировщик с жёстким шаблоном, или лежит в колонке `VARCHAR(64)`, интеграция сломается без внятной ошибки.
Новый формат ускоряет выпуск и проверку токенов, а цену платят те, кто зашил длину в код. ### TLS: X25519 больше не единственный вариант С 7 октября 2026 года GitHub Enterprise Cloud с data residency (GHE.com) перестаёт принимать клиентов, которые предлагают только X25519 для согласования ключа.
Поддерживаются FIPS-совместимые группы P-256 (`secp256r1`) и P-384 (`secp384r1`).
Современные браузеры, ОС, GitHub CLI и распространённые TLS-библиотеки их уже умеют.
Под удар попадают прокси, security-приложения и самописные клиенты, где набор групп задан явно.
Такие клиенты находят инвентаризацией исходящих соединений, и провести её нужно до даты отключения. ### CodeQL: универсальный бандл уходит
Начиная с CodeQL CLI 2.27.0 бандл для всех платформ (`codeql-bundle.tar.gz` и `.tar.zst`) помечен устаревшим.
Удалят его в середине марта 2027 года
Linux ARM64 доступен только в платформенных сборках. Пайплайн, который скачивает «один бандл на все раннеры»
, придётся переписать на выбор сборки по ОС и архитектуре.
Пять месяцев похожи на запас, пока не выяснится, что раннеры разбросаны по трём командам. В тот же ряд попадает расширение secret scanning: появились детекторы для Lovable (`lovable_api_key`), Pydantic Services и Supabase.
Для ключей партнёра GitHub уведомляет провайдера, и тот может отозвать ключ до злоупотребления.
Здесь проверка встроена в процесс и работает без внимания конкретного человека.
