Regex jeton d'accès GitHub (ghp_, github_pat_…)
Depuis 2021, un jeton GitHub commence par un préfixe de trois lettres (gh + initiale du type : ghp personnel, gho OAuth, ghu utilisateur d'une application, ghs installation, ghr renouvellement) suivi de « _ ». GitHub écrit que le jeton est encodé en Base62 et que ses 6 derniers caractères sont une somme de contrôle CRC32 ; la longueur totale reste de 40 caractères, soit 36 après le préfixe. Les jetons à granularité fine commencent par github_pat_ ; leur longueur de 82 caractères après le préfixe n'est pas documentée par GitHub mais reprise par les détecteurs. Les quatre outils relus divergent : l'un ne couvre que ghp_, un autre ignore github_pat_, un troisième accepte de 36 à 255 caractères, et trois acceptent un tiret bas dans le corps, que l'alphabet Base62 exclut. Voici un motif ancré, comparé à ces outils.
/^(?:gh[pousr]_[A-Za-z0-9]{36}|github_pat_[A-Za-z0-9_]{82})$/Comparatif des patterns existants
| Source | pattern | Score sur le corpus | ReDoS |
|---|---|---|---|
| gitleaks (github-pat) — ne couvre que ghp_ (gho_, ghu_, ghs_, ghr_ et github_pat_ ont chacun leur règle) ; sans ancres : « xghp_… » et un corps de 37 caractères passent | ghp_[0-9a-zA-Z]{36} | 15 / 24 | sûr |
| detect-secrets (Yelp, GitHubTokenDetector) — pas de github_pat_ ; aucune ancre ; « [A-Za-z0-9_] » accepte un tiret bas dans le corps, que Base62 exclut | (ghp|gho|ghu|ghs|ghr)_[A-Za-z0-9_]{36} | 18 / 24 | indéterminé |
| trufflehog (github v2) — longueur libre de 36 à 255 : « ghp_ » suivi de 37 caractères, ou github_pat_ suivi de 81 ou 83, passent ; tiret bas accepté | \b((?:ghp|gho|ghu|ghs|ghr|github_pat)_[a-zA-Z0-9_]{36,255})\b | 18 / 24 | indéterminé |
| secretlint (règle GitHub, jetons classiques) — borne bien la longueur grâce aux assertions, mais sans github_pat_ (autre motif) et tiret bas accepté dans le corps | (?<!\p{L})(?<type>ghp|gho|ghu|ghs|ghr)_[A-Za-z0-9_]{36}(?![A-Za-z0-9_]) | 20 / 24 | indéterminé |
Implémentation
const re = new RegExp("^(?:gh[pousr]_[A-Za-z0-9]{36}|github_pat_[A-Za-z0-9_]{82})$", "");
re.test(input);Limites
- Valide seulement la FORME : ne vérifie ni la somme de contrôle CRC32 (6 derniers caractères, encodée en Base62), ni que le jeton existe ou est encore actif. Un jeton bien formé mais inventé passe ce motif.
- Seuls les formats à 40 caractères (préfixe + 36) et github_pat_ + 82 sont acceptés. GitHub annonce un nouveau format ghs_APPID_JWT pour les jetons d'installation d'applications, bien plus long : il est rejeté ici et demande un autre motif.
- La longueur de 82 caractères de github_pat_ n'est pas documentée par GitHub (seul le préfixe l'est) : elle est reprise de gitleaks, trufflehog et secretlint et peut changer. Le motif exclut le tiret bas des jetons classiques, contrairement aux détecteurs, d'après l'encodage Base62 décrit par GitHub.
- Ne collez jamais un vrai jeton dans un outil en ligne : utilisez des jetons factices pour vos tests. Pour détecter des jetons dans du texte, retirez les ancres et entourez de \b.