GitHub impose la 2FA à tous les développeurs qui commit au 2 septembre 2026

Fin d'une transition entamée en 2022 - le vrai passif reste les workflows d'automatisation encore adossés à des tokens non-2FA.

Le fait

GitHub rend l'authentification à deux facteurs (2FA) obligatoire pour tout développeur qui contribue (commit, PR, review) sur la plateforme au 2 septembre 2026 (Hacker News, 20/07/2026, en tête de home). La bascule finalise le programme lancé en 2022 après le compromis de plusieurs dépôts populaires par vol de tokens. La date coïncide avec l'entrée en vigueur des passkeys matérielles obligatoires chez OpenAI Trusted Access for Cyber.

Notre lecture

Fin d'un long dégagement contrôlé, pas rupture. GitHub avait déjà imposé la 2FA aux mainteneurs de dépôts « à haut impact » puis progressivement élargi. Le vrai passif : les workflows CI/CD et les scripts qui reposent encore sur des personal access tokens non-2FA - ils casseront au switch. À J-45, la file d'attente support explose : c'est là que se concentre le risque opérationnel, pas dans la 2FA elle-même. À noter : les passkeys matérielles restent en option ; GitHub conserve TOTP et SMS comme entrée de gamme, ce qui laisse de la friction sur l'axe phishing - l'écart de standard avec les habilitations frontier reste net (fil frontier-access-control).

À surveiller

• Comportement des CI (GitHub Actions, Circle, self-hosted) et gestionnaires de tokens à la bascule.
• Effet sur les projets open source à contributeurs occasionnels - friction possible.
• Prochaine étape : passkeys par défaut ou obligatoires ?