GitHub обязует всех разработчиков использовать 2FA для коммитов с 2 сентября 2026 года

Завершение перехода, начатого в 2022 году — реальная проблема заключается в рабочих процессах автоматизации, всё ещё привязанных к токенам без двухфакторной аутентификации.

Факт

GitHub делает двухфакторную аутентификацию (2FA) обязательной для всех разработчиков, которые вносят вклад (коммиты, PR, ревью) на платформу 2 сентября 2026 года (Hacker News, 20.07.2026, на главной странице). Это завершает программу, запущенную в 2022 году после компрометации нескольких популярных репозиториев из-за кражи токенов. Дата совпадает с вступлением в силу обязательных аппаратных ключей безопасности в OpenAI Trusted Access for Cyber.

Наше понимание

Это завершение длительного контролируемого процесса, а не резкий переход. GitHub уже ввёл 2FA для мейнтейнеров репозиториев «с высоким уровнем влияния», а затем постепенно расширил охват. Основная проблема: CI/CD-воркфлоу и скрипты, которые до сих пор используют персональные токены доступа без 2FA — они перестанут работать после переключения. За 45 дней до дедлайна очередь в поддержку растёт: именно здесь сосредоточен операционный риск, а не в самой 2FA. Стоит отметить: аппаратные ключи безопасности остаются опциональными; GitHub сохраняет TOTP и SMS как базовый вариант, что создаёт дополнительное трение в борьбе с фишингом — разрыв со стандартами передовых систем остаётся значительным (см. frontier-access-control).

На что обратить внимание

• Поведение CI-систем (GitHub Actions, CircleCI, self-hosted) и менеджеров токенов после переключения.
• Влияние на проекты с открытым исходным кодом с нерегулярными контрибьюторами — возможное увеличение трения.
• Следующий шаг: будут ли ключи безопасности по умолчанию или обязательными?