GitHub push attribution: separar autor, committer y pusher
Un nombre conocido en un commit no prueba quién lo envió. GitHub anunció el 12 de octubre una vista previa pública limitada de atribución autenticada del pusher.
Qué demuestra el registro
Autor y committer son metadatos cuyos textos aporta el cliente. El registro del pusher añade la identidad autenticada por GitHub para el envío; no demuestra revisión del código.
Confirma el acceso a la vista previa
Según el anuncio, está limitada a clientes GitHub Enterprise; el acceso se solicita al equipo de cuenta. No es disponibilidad general para todas las cuentas.
Separa observar de aplicar reglas
Committer must match pusher bloquea envíos si el committer no coincide con un correo verificado del pusher autenticado. No sustituye firmas ni revisión del diff.
Documenta primero los bots
Si una cuenta crea commits y otra los envía, registra ambas. Proponemos probar envíos coincidentes y discrepantes en un repositorio de prueba antes de activar la regla en producción.
Relaciona hash, identidad del envío y hora de comprobación con la revisión. Una identidad coincidente no implica que una persona revisara el cambio.
La confusión práctica es tomar un nombre por prueba de identidad. No usamos anécdotas sin verificar ni métricas inventadas; revisa la UI/API en la cuenta real.
Fuentes oficiales
Alcance comprobado el 13 de octubre de 2026; propuestas operativas separadas.