うっかりpushしたトークンが自動で無効化される時代に──Cloudflareのスキャン可能トークン
前提知識：Cloudflareで認証トークンやAPI Keyを使ったことがある人向け
発見： 漏洩したトークンを自動検知して無効化する仕組みが、GitHub上で動き始めているように見える。Cloudflareが導入した「スキャン可能なトークン」は、コードに混入した認証情報をGitHub側が検知し、Cloudflare側で自動的に無効化できる。
どう使うか： 新しいOAuthフローと従来のAPI Keyを使い分ける判断軸は、アクセス範囲の限定が必要かどうか。特定のゾーンだけに権限を絞りたいなら、リソーススコープ付きのRBACを使う。一方、全体管理が前提ならAPI Keyのままでも問題ない。
なぜ効くか： トークンにフォーマットを持たせることで、GitHub側のスキャンに引っかかるようになり、漏洩から無効化までの時間が短縮される。OAuth化により、サードパーティアプリごとに権限を可視化でき、どのアプリが何にアクセスできるかが一覧で見えるようになった。
すぐ試す： Cloudflareダッシュボードで新規トークンを作成し、そのトークンをGitHubの公開リポジトリにpushしてみる。数分以内にCloudflare側で無効化通知が届けば、スキャンが機能している。また、OAuth接続済みのアプリ一覧を確認し、不要なアクセス権を持つアプリがあれば削除しておく。
