мне кажется надо тупо забить и токен зашить в репу
ну, каждый леший-пеший сможет взять твой токен и подпортить тебе всю историю анализа. еще через него доступно web API, т.к. он может получить доступ к управлению проектом. можно сделать отдельного пользователя, только с правом анализа, это закроет дыру с web api, но не порчу проекта левым анализом