GitHub pourra temporairement exiger une authentification pour cloner un dépôt public

GitHub annonce un nouveau mécanisme de protection susceptible d’affecter certains clones et récupérations de modifications sur des dépôts publics. Lors de périodes de trafic inhabituel, la plateforme pourra temporairement exiger une authentification pour ces opérations Git réalisées en HTTPS.

Une commande concernée échouera avec un message indiquant qu’une authentification est nécessaire. L’utilisateur pourra alors s’authentifier et relancer l’opération, ou attendre la levée de la protection avant de réessayer sans identifiants.

GitHub précise qu’il ne s’agit pas d’une obligation générale d’authentification pour accéder aux dépôts publics. La mesure doit être appliquée de manière ciblée, à partir de signaux associés à un trafic anormal. Certaines opérations légitimes pourront néanmoins être touchées lorsqu’elles partagent ces signaux.

Les opérations Git déjà authentifiées en HTTPS, les connexions SSH et les envois de modifications ne sont pas concernés. Le trafic web et les appels à l’API sans rapport avec ces opérations restent également inchangés. Cette protection pourra s’appliquer aux dépôts hébergés sur github.com, quelle que soit l’offre utilisée.

Pour fiabiliser les clones et les récupérations automatisés, GitHub recommande d’utiliser le GITHUB_TOKEN intégré à GitHub Actions. Sur les autres systèmes d’intégration continue, la plateforme conseille en priorité un jeton d’accès d’installation GitHub App, tout en indiquant qu’un jeton d’accès personnel peut aussi convenir. Si l’authentification est impossible, il faudra attendre la désactivation de la protection temporaire avant de relancer l’opération.