GitHub отзывает учётные данные по типу: матрица PAT, SSH, OAuth и GitHub App для инцидента. По минимизированному audit event определить credential type, owner, resource scope, last use и зависимые workflows; подготовить замену и одобренное окно, отозвать только подтверждённый тип и доказать отказ старого и работу нового. Практический результат —.
1. Зафиксируйте точный симптом и границу ответа
При инциденте администратор хочет отключить один скомпрометированный тип credential, но боится лишить доступа все приложения или, наоборот, оставить работающим соседний PAT, SSH key, OAuth token или GitHub App authorization. Рабочая граница материала — именно запрос «как отозвать github credential по типу pat ssh oauth github app user token и проверить blast radius при инциденте». До любого действия запишите версию, один наблюдаемый симптом, время и ожидаемый результат. Не переносите вывод на другую версию, роль, операционную систему или соседний продукт без повторной сверки. Новостная карточка или форумное обсуждение могут быть лишь lead: они не доказывают причину, охват или популярность.
2. Отделите свежее событие от технического доказательства
18 августа 2026 года GitHub объявил точечную revocation и deauthorization по credential type с audit-следом и email-уведомлениями; 28 августа changelog и новый GitHub credential types reference сверены для различий в сроке жизни и revocation. Первый источник фиксирует: GitHub Changelog от 18 августа 2026 года описывает credential-type-specific revocation для personal access tokens, SSH keys, OAuth и GitHub App user access, а также audit event и email notification; это поддерживает точечную модель вместо подмены всеобщим sign-out. Второй официальный контракт уточняет: Официальный GitHub Docs reference разделяет PAT classic, fine-grained PAT, OAuth tokens, GitHub App user/installation/refresh tokens, SSH и deploy keys по формату, сроку жизни, owner и revocation; он нужен для построения карты blast radius без копирования секрета. Из этих двух текстов не следует, что любой похожий симптом вызван тем же механизмом. Дата, версия, область действия и оговорки источника остаются частью ответа.
3. Проведите один обратимый контрольный тест
По минимизированному audit event определить credential type, owner, resource scope, last use и зависимые workflows; подготовить замену и одобренное окно, отозвать только подтверждённый тип и доказать отказ старого и работу нового. До теста сохраните исходное значение или копию только затрагиваемого объекта, заранее определите признак успеха, отрицательный исход и команду возврата. Меняйте ровно один фактор и повторяйте тот же контрольный вход. Не сбрасывайте профиль, не удаляйте данные, не отключайте защиту и не подменяйте сетевой маршрут ради удобного результата.
4. Прочитайте матрицу исходов без подмены причины
Матрица «credential type × owner × resource scope × revocation action × dependent workflow», два последовательных теста «старое отклонено / новое принято», заранее подготовленный break-glass access и стоп-линия до bulk revocation или удаления пользователя. Успешный отказ PAT не доказывает отзыв SSH и OAuth; для каждого типа фиксируются свой identifier, action, срок жизни и проверка; токенное значение при этом не копируют. В каждой ячейке записывайте только наблюдаемый факт, а не предполагаемую причину. Если симптом исчез, это подтверждает границу контрольного теста, но не универсальную причину для всех конфигураций. Если результат неоднозначен, верните исходное состояние и соберите минимальный воспроизводимый пример.
5. Остановитесь до необратимого шага и эскалируйте минимум
Не вставлять token value в ticket или чат, не удалять user и не отзывать все credentials без break-glass access, карты зависимостей и одобрения incident commander; отзыв по типу не заменяет последующий forensic review. Для поддержки соберите версию продукта, время с timezone, один обезличенный код ошибки или статус, один контрольный шаг и его результат. Удалите имена, email, IP, account IDs, tokens, ключи, полные конфиги и приватные ссылки. Красные флаги для немедленной остановки: потеря данных, секрета или доступа, влияние на несвязанных пользователей, отсутствие копии или невозможность возврата.
Материал подготовлен редакцией VOne с помощью ИИ; технические утверждения постатейно сверены с указанными официальными и первичными источниками 28 августа 2026 года.
Источники и проверка
- GitHub credential revocation by token type проверено 2026-08-28
- GitHub credential types reference проверено 2026-08-28
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.