GitHub、公開リポジトリのHTTPSクローンに一時的な認証を要求

何が発表されたか

GitHubは2026年10月19日、github.com上の公開リポジトリに対するHTTPS経由のcloneとfetchについて、異常なトラフィックが発生している期間に限り認証を要求する場合があると告知した。

• 対象となった操作は、認証が必要であるという旨のメッセージを伴って失敗する。
• GitHubは異常なトラフィックに関連するシグナルを用いて適用範囲を絞っているとしつつ、正当な未認証リクエストがまれに巻き込まれる可能性があると明記している。
• 全プランが対象。ただし公開リポジトリに常時認証を課すものではなく、一時的な保護措置であり、トラフィックが収まれば解除される。開始日と終了日は示されていない。
• 影響を受けないのは、認証済みのHTTPS経由のGit操作、SSH経由のGit操作、push、およびGitのWebやAPIの一般的なトラフィック。

取るべき対応

影響を受けるのは、未認証のままHTTPSで公開リポジトリをcloneまたはfetchしている処理だ。CIのビルド、Dockerイメージのビルド、デプロイスクリプト、依存解決のためにGitHubを直接叩いている仕組みが典型的に該当する。

• 操作が失敗した場合は、認証して再試行する。認証手段がない場合は、保護が解除されるのを待ってから未認証で再試行する。
• GitHub Actionsでは、組み込みの GITHUB_TOKEN を使う。
• それ以外のCIでは、GitHub Appのインストールアクセストークンの利用が推奨されている。パーソナルアクセストークンでも動作する。
• 恒久的な仕様変更ではないが、未認証clone前提の仕組みはいつ止まってもおかしくない状態になった。納品済みの案件を含め、自動処理が公開リポジトリを未認証で取得していないか、この機会に棚卸ししておきたい。