Regex GitHub access token (ghp_, github_pat_…)
Since 2021, a GitHub token starts with a three-letter prefix (gh + type initial: ghp personal, gho OAuth, ghu user-to-server, ghs installation, ghr refresh) followed by '_'. GitHub states the token is encoded in Base62 and its last 6 characters are a CRC32 checksum; the total length stays at 40 characters, i.e. 36 after the prefix. Fine-grained tokens start with github_pat_; their 82-character length after the prefix is not documented by GitHub but taken from detectors. The four tools I read disagree: one only covers ghp_, another ignores github_pat_, a third accepts 36 to 255 characters, and three accept an underscore in the body, which the Base62 alphabet excludes. Here's an anchored pattern, compared against those tools.
/^(?:gh[pousr]_[A-Za-z0-9]{36}|github_pat_[A-Za-z0-9_]{82})$/passes 24/24 cases
Comparison of existing patterns
| Source | pattern | Score on the corpus | ReDoS |
|---|---|---|---|
| gitleaks (github-pat) — ne couvre que ghp_ (gho_, ghu_, ghs_, ghr_ et github_pat_ ont chacun leur règle) ; sans ancres : « xghp_… » et un corps de 37 caractères passent | ghp_[0-9a-zA-Z]{36} | 15 / 24 | safe |
| detect-secrets (Yelp, GitHubTokenDetector) — pas de github_pat_ ; aucune ancre ; « [A-Za-z0-9_] » accepte un tiret bas dans le corps, que Base62 exclut | (ghp|gho|ghu|ghs|ghr)_[A-Za-z0-9_]{36} | 18 / 24 | undetermined |
| trufflehog (github v2) — longueur libre de 36 à 255 : « ghp_ » suivi de 37 caractères, ou github_pat_ suivi de 81 ou 83, passent ; tiret bas accepté | \b((?:ghp|gho|ghu|ghs|ghr|github_pat)_[a-zA-Z0-9_]{36,255})\b | 18 / 24 | undetermined |
| secretlint (règle GitHub, jetons classiques) — borne bien la longueur grâce aux assertions, mais sans github_pat_ (autre motif) et tiret bas accepté dans le corps | (?<!\p{L})(?<type>ghp|gho|ghu|ghs|ghr)_[A-Za-z0-9_]{36}(?![A-Za-z0-9_]) | 20 / 24 | undetermined |
Implementation
const re = new RegExp("^(?:gh[pousr]_[A-Za-z0-9]{36}|github_pat_[A-Za-z0-9_]{82})$", "");
re.test(input);Limits
- Valide seulement la FORME : ne vérifie ni la somme de contrôle CRC32 (6 derniers caractères, encodée en Base62), ni que le jeton existe ou est encore actif. Un jeton bien formé mais inventé passe ce motif.
- Seuls les formats à 40 caractères (préfixe + 36) et github_pat_ + 82 sont acceptés. GitHub annonce un nouveau format ghs_APPID_JWT pour les jetons d'installation d'applications, bien plus long : il est rejeté ici et demande un autre motif.
- La longueur de 82 caractères de github_pat_ n'est pas documentée par GitHub (seul le préfixe l'est) : elle est reprise de gitleaks, trufflehog et secretlint et peut changer. Le motif exclut le tiret bas des jetons classiques, contrairement aux détecteurs, d'après l'encodage Base62 décrit par GitHub.
- Ne collez jamais un vrai jeton dans un outil en ligne : utilisez des jetons factices pour vos tests. Pour détecter des jetons dans du texte, retirez les ancres et entourez de \b.