GitHub impondrá la autenticación en dos factores (2FA) a todos los desarrolladores que realicen *commits* el 2 de septiembre de 2026.

Fin de una transición iniciada en 2022: el verdadero pasivo son los flujos de trabajo de automatización aún vinculados a tokens sin autenticación en dos factores (2FA).

El hecho

GitHub hará obligatoria la autenticación en dos factores (2FA) para cualquier desarrollador que contribuya (commit, PR, review) en la plataforma el 2 de septiembre de 2026 (Hacker News, 20/07/2026, en portada). El cambio finaliza el programa lanzado en 2022 tras el compromiso de varios repositorios populares por robo de tokens. La fecha coincide con la entrada en vigor de las claves de acceso materiales obligatorias en OpenAI Trusted Access for Cyber.

Nuestra lectura

Fin de un largo desvinculación controlada, no una ruptura. GitHub ya había impuesto la 2FA a los mantenedores de repositorios «de alto impacto» y luego lo amplió progresivamente. El verdadero pasivo: los flujos de CI/CD y los scripts que aún dependen de tokens de acceso personal sin 2FA —se romperán con el cambio—. A 45 días del plazo, la cola de soporte explota: ahí se concentra el riesgo operativo, no en la 2FA en sí. Cabe destacar: las claves de acceso materiales siguen siendo opcionales; GitHub mantiene TOTP y SMS como gama de entrada, lo que genera fricción en el eje de phishing —la brecha de estándar con las habilitaciones de frontera sigue siendo notable (hilo frontier-access-control).

A vigilar

• Comportamiento de las CI (GitHub Actions, Circle, autoalojadas) y gestores de tokens en el cambio.
• Efecto en proyectos de código abierto con contribuyentes ocasionales —posible fricción—.
• Próximo paso: ¿claves de acceso por defecto u obligatorias?