GitHub push attribution : séparer auteur, committer et pusher
Un nom familier dans un commit ne prouve pas qui l’a envoyé. GitHub a annoncé le 12 octobre un aperçu public limité de l’attribution authentifiée du pusher.
La question traitée par cette preuve
Les noms d’auteur et de committer sont des chaînes fournies par le client. Le pusher ajoute l’identité authentifiée par GitHub lors de l’envoi, pas la preuve d’une revue de code.
Vérifier l’accès à l’aperçu
L’annonce vise les clients GitHub Enterprise dans un aperçu limité ; l’accès se demande à l’équipe de compte. Ce n’est pas un lancement général pour tous.
Séparer observation et règle
Committer must match pusher bloque l’envoi si le committer ne correspond à aucun courriel vérifié du pusher authentifié. Cela ne remplace ni signature ni revue du diff.
Documenter d’abord les bots
Si un compte crée les commits et un autre les pousse, notez les deux rôles. Nous proposons de tester des envois conformes et discordants dans un dépôt de test avant activation.
Reliez hash, identité d’envoi et heure de contrôle à la revue. Une identité concordante ne prouve pas qu’une personne a examiné le changement.
La confusion pratique est de lire un nom comme preuve d’identité. Aucun récit communautaire non vérifié ni chiffre inventé n’est traité comme fait ; vérifiez l’UI/API réelle.
Sources officielles
Portée vérifiée le 13 octobre 2026 ; propositions opérationnelles séparées.