GitHub、OAuthアプリで複数リダイレクトURIとリフレッシュトークンに対応開始

GitHubは、OAuthアプリおよびGitHubアプリのプラットフォームにおいて、セキュリティ向上を目的とした複数のアップデートを実施しました。特筆すべき変更点は、OAuthアプリがオプトイン形式で短命アクセストークンとリフレッシュトークンを利用できるようになったことです。これにより、開発者は従来の恒久的なアクセストークンに頼らず、よりセキュアな認証フローを構築できるようになります。

新仕様では、アクセストークンの有効期限が8時間に制限され、あわせて6ヶ月間有効なリフレッシュトークンが発行されます。アクセストークンの期限が切れた際、リフレッシュトークンを用いて新しいトークンペアを取得する仕組みです。このリフレッシュトークン機能は、新規に作成されるすべてのアプリケーションでデフォルトで有効化されます。また、1つのアプリに対して最大10件までのリダイレクトURIを設定可能になり、開発環境やステージング環境ごとに個別のアプリを用意する手間が削減されました。

既存のアプリケーションについては、設定画面から手動で短命トークンへ移行することが可能です。ただし、使用している認証SDKがリフレッシュトークンフローをサポートしていない場合は、SDKのアップデートが完了するまでこの機能を無効化したままにする必要があります。リフレッシュトークンを使用すると古いトークンは即座に無効化されるため、分散環境でのトークン管理には実装上の注意を要します。