GitHubは2026年9月2日以降、コミットを行うすべての開発者に2FAを義務付けます

2022年に始まった移行の終了 — 真の負債は、いまだ2FA非対応のトークンに依存した自動化ワークフローにある

事実

GitHubは、プラットフォーム上で2026年9月2日に（Hacker News、2026年7月20日、ホームトップ掲載）コミット、PR、レビューなどの貢献を行うすべての開発者に対し、二要素認証（2FA）を義務化する。この移行は、2022年に開始されたプログラムを完遂するもので、人気リポジトリがトークンの窃取により複数侵害されたことを受けての措置である。同日は、OpenAI Trusted Access for Cyberにおけるハードウェアパスキーの義務化施行とも重なる。

当社の見解

長期的な段階的排除の終焉であり、決して破壊的な変化ではない。GitHubはすでに「高影響リポジトリ」のメンテナーに2FAを義務化し、その後段階的に対象を拡大してきた。真の負債は、CI/CDワークフローや2FA未対応のパーソナルアクセストークンに依存するスクリプトにある。移行まで45日を切り、サポートの待ち行列が急増している。リスクは2FA自体ではなく、そこに集中している。なお、ハードウェアパスキーは引き続きオプションであり、GitHubはTOTPやSMSをエントリーレベルの認証手段として維持している。このためフィッシング耐性の面でフロンティア企業とのギャップが残る（

要注目

• CI（GitHub Actions、CircleCI、セルフホスト）およびトークンマネージャーの挙動
• 断続的な貢献者を持つオープンソースプロジェクトへの影響（摩擦の可能性）
• 次のステップ：パスキーのデフォルト化または義務化？