O GitHub impõe a 2FA a todos os desenvolvedores que fizerem *commit* até 2 de setembro de 2026.

Fim de uma transição iniciada em 2022 - o verdadeiro passivo são os fluxos de automação ainda vinculados a tokens sem 2FA.

O fato

GitHub torna a autenticação em duas etapas (2FA) obrigatória para qualquer desenvolvedor que contribua (commit, PR, review) na plataforma a partir de 2 de setembro de 2026 (Hacker News, 20/07/2026, destaque na home). A mudança finaliza o programa lançado em 2022 após o comprometimento de vários repositórios populares por roubo de tokens. A data coincide com a entrada em vigor das chaves de segurança físicas obrigatórias no OpenAI Trusted Access for Cyber.

Nossa análise

Fim de um longo desengajamento controlado, não uma ruptura. GitHub já havia imposto o 2FA aos mantenedores de repositórios de "alto impacto" e, em seguida, ampliou gradualmente. O verdadeiro passivo: os fluxos de CI/CD e os scripts que ainda dependem de tokens de acesso pessoal sem 2FA — eles quebrarão na mudança. A 45 dias do prazo, a fila de suporte explode: é aí que o risco operacional se concentra, não no próprio 2FA. Vale notar: as chaves de segurança físicas permanecem opcionais; GitHub mantém TOTP e SMS como entrada básica, o que deixa fricção no eixo de phishing — a lacuna de padrão com as habilitações de fronteira continua evidente (fio frontier-access-control).

A observar

• Comportamento das CI (GitHub Actions, Circle, self-hosted) e gerenciadores de tokens na mudança.
• Impacto em projetos open source com contribuidores ocasionais — possível fricção.
• Próximo passo: chaves de segurança como padrão ou obrigatórias?