Uma sequência de texto começando com cfast_ esquecida dentro de um arquivo de programação agora aciona um bloqueio imediato de segurança. Entre os dias 11 e 12 de novembro de 2026, o GitHub (abre em nova aba) e a Cloudflare (abre em nova aba) colocaram no ar uma detecção automática que identifica e desativa na hora chaves digitais do tipo Access service token vazadas por engano na internet. O cancelamento automático vale para credenciais expostas em projetos abertos ao público e criadas a partir de 26 de agosto de 2026.
Para quem não trabalha com programação, o risco por trás dessa mudança é simples de entender. O GitHub funciona como uma grande biblioteca online onde equipes guardam pastas de projetos de software, chamadas de repositórios. Já os tokens de serviço da Cloudflare são senhas especiais criadas para que um programa converse com outro de forma automática, sem precisar de uma pessoa digitando login e senha na tela. Muita gente acaba deixando essas chaves salvas dentro do próprio código por descuido; se a pasta do projeto for pública, qualquer desconhecido pode copiar a credencial e invadir sistemas protegidos.
Como o vigia automático entra em ação
Para evitar esse tipo de invasão, o GitHub usa uma ferramenta chamada varredura de segredos (secret scanning), que lê tudo o que é salvo na plataforma em busca de senhas esquecidas. A Cloudflare já contava com esse recurso desde abril de 2026 para proteger outras chaves gerais da sua plataforma, mas agora a proteção passa a cobrir especificamente a credencial técnica identificada como cloudflare_access_service_token.
O que acontece depois que o detector encontra a chave depende de onde o arquivo estava guardado:
- Em repositórios públicos: o GitHub avisa a Cloudflare automaticamente por meio de um programa de parceria entre as empresas. A Cloudflare corta o acesso da chave vazada na mesma hora e envia um e-mail de alerta para os administradores da conta.
- Em repositórios privados (ou alertas de usuário): quando o alerta é voltado ao próprio usuário em projetos privados ou públicos, o GitHub gera um aviso de segurança direto no painel dos donos do repositório para que eles mesmos resolvam a exposição.
A regra dos 40 caracteres e o limite para chaves antigas
40 letras e números seguidos por mais 8 caracteres de verificação: essa é a estrutura exata que permite ao sistema caçar o vazamento sem confundir a senha com uma palavra qualquer. Logo depois do prefixo cfast_, o código traz esses 40 caracteres alfanuméricos e termina com um checksum (um código verificador de 8 dígitos em formato hexadecimal, parecido com os dois últimos números do CPF, usado para confirmar se aquela combinação segue a regra matemática da empresa).
Equipes que usam outras ferramentas de segurança fora do GitHub também podem configurar essa mesma fórmula de busca, chamada na computação de expressão regular (cfast_[A-Za-z0-9]{40}[a-f0-9]{8}), para encontrar possíveis chaves perdidas nos seus próprios arquivos. Nessas ferramentas externas, porém, encontrar o padrão de texto não valida o código verificador nem confirma sozinho se a chave continua ativa.
Só que tem um detalhe para quem usa a plataforma há mais tempo. Esse formato padronizado com prefixo só existe nas chaves criadas a partir de 26 de agosto de 2026. As credenciais antigas da Cloudflare, formadas por uma sequência de 64 caracteres sem o rótulo inicial cfast_, ficam de fora dessa nova regra de detecção.
O que muda na hora de recuperar o acesso
Em muitos serviços digitais, quando uma senha precisa ser trocada por segurança, existe um período de carência em que a senha velha e a nova funcionam juntas por algum tempo para não derrubar nenhum sistema. Na recuperação de um token de serviço da Cloudflare vazado e desativado, essa tolerância é zero.
O administrador não consegue simplesmente clicar em um botão para religar a chave bloqueada. A Cloudflare exige primeiro uma rotação de segredo, que é o procedimento de gerar uma senha substituta para aquela credencial. No exato momento em que essa troca é feita, a senha antiga é descartada de imediato e para de funcionar em todos os lugares, exigindo que a equipe atualize a nova chave em cada sistema conectado antes de reativar o acesso.