Ideas que conectan.
Trabajo que avanza.

Qué cambia

GitHub anunció el 21 de octubre de 2026 una vista previa pública y voluntaria de credenciales OAuth con caducidad en GitHub CLI, disponible desde la versión 2.103.0. Anuncio de GitHub.

Al activarla, gh conserva un token de acceso temporal junto con un token de renovación rotatorio y renueva el acceso cuando lo necesita. GitHub describe una caducidad del acceso en horas. Los inicios de sesión existentes y los tokens aportados manualmente mantienen su comportamiento. Documentación de autenticación.

Disponibilidad y límites del servidor

El anuncio distingue los siguientes entornos. La opción `--expiring` solicita credenciales renovables; si el servidor no las admite, gh obtiene un token sin caducidad. Activar la opción no garantiza por sí solo que el token emitido caduque. Alcance anunciado.

Activación y configuración documentadas

La documentación recoge estas opciones de activación y consulta. Se presentan como referencia documental, sin pruebas de ejecución en este artículo. Guía de autenticación.

Para Git por HTTPS, GitHub recomienda usar gh como gestor de credenciales y Git 2.46 o posterior, que permite señalar que una credencial no debe almacenarse en caché más allá de su vigencia. Las versiones anteriores siguen funcionando, con un aviso de actualización. Notas de la versión 2.103.0.

`gh auth setup-git` configura ese gestor para todos los hosts autenticados; `--hostname` permite limitarlo a uno. Conviene revisar ese alcance al preparar la prueba. Manual de setup-git.

• `gh auth login --expiring`: solicita credenciales renovables al iniciar sesión.
• `gh config set expiring_credentials enabled`: establece esa preferencia para los siguientes inicios de sesión.
• `gh auth status`: consulta el estado de autenticación y la caducidad del token.

El punto que deben revisar los scripts

Las notas oficiales advierten que guardar la salida de `gh auth token` para reutilizarla puede dejar a scripts y extensiones con un token caducado. También precisan que los tokens suministrados mediante `GH_TOKEN` o `GITHUB_TOKEN` no se renuevan automáticamente. Notas de la versión.

Consultar `gh auth token` de nuevo permite renovar una credencial compatible cuando está caducada o próxima a caducar, salvo que se use `--no-refresh`. El comando no actualiza las copias ya entregadas a otras herramientas. Manual de auth token.

Interpretación editorial: seguir el recorrido de la credencial

Nuestra lectura es que la adopción merece una revisión del flujo completo: qué herramienta necesita acceso, de dónde obtiene la credencial y durante cuánto tiempo conserva su valor. Ese inventario ayuda a identificar quién debe ajustar cada integración.

Para responsables de proyectos, proponemos planificar el cambio por flujos de trabajo y asignar una persona responsable de cada comprobación. La decisión puede apoyarse en resultados registrados en un entorno de prueba, en lugar de dar por resuelta la compatibilidad al actualizar gh.

Ejemplo propuesto y comprobaciones pendientes

Ejemplo hipotético, no probado: un equipo guarda por la mañana la salida de `gh auth token` en un archivo que consume una tarea nocturna. Si el token caduca entre ambos momentos, la tarea podría fallar. La alternativa propuesta es obtenerlo cerca de cada uso y revisar si la herramienta receptora vuelve a conservarlo.

Antes de ampliar la adopción, proponemos las comprobaciones siguientes. Sus resultados siguen pendientes. Si un flujo depende de una credencial de larga duración, GitHub aconseja aplazar la activación para ese flujo. Recomendación del anuncio.

• Registrar las versiones de gh y Git, el host de destino y el modo de autenticación efectivo.
• Localizar scripts, extensiones y herramientas que almacenan o reciben copias del token.
• En un entorno controlado, comprobar una operación habitual y repetirla después de la caducidad, documentando el comportamiento de la renovación y del consumidor externo.