Il push lato server è una scrittura del repository eseguita dal server stesso, di solito dopo che elabora una richiesta API, un'azione di pull request o un passaggio di automazione. Il client può chiedere solo un'operazione di livello superiore, ma la piattaforma trasforma quella richiesta in un aggiornamento effettivo di un branch, in un commit o in una modifica di ref nel backend.
Questo è importante perché il confine di sicurezza si sposta dalla richiesta visibile al percorso di scrittura interno. Se l'autorizzazione viene verificata solo sulla route esterna, un token può sembrare limitato pur causando comunque una vera modifica del repository. Gli attaccanti cercano queste discrepanze per raggiungere branch privati, attivare workflow o aggirare il scope previsto. I difensori dovrebbero verificare i permessi rispetto alla risorsa esatta che viene modificata, registrare separatamente le scritture avviate dal server e trattare ogni push lato server come un'azione sensibile che può attivare l'automazione.