Ce que signifie réellement une clé SSH non reconnue
Une clé SSH listée sur un compte GitHub est un identifiant qui peut s’authentifier en tant que ce compte. En voir une que vous ne reconnaissez pas est une raison d’enquêter, pas une conclusion. La clé peut appartenir à un appareil que vous avez oublié, à la configuration d’un ancien membre de l’équipe, à un vieil ordinateur portable, ou à quelque chose que vous n’avez pas autorisé. L’approche sûre consiste à identifier le propriétaire et l’usage avant de supprimer quoi que ce soit, car supprimer une clé utilisée par un flux de travail légitime cassera ce flux.
GitHub traite plusieurs éléments comme des voies d’accès distinctes. Une clé SSH personnelle, une clé de déploiement attachée à un dépôt et une application OAuth autorisée sont des mécanismes différents avec des portées différentes. Auditer l’un ne revient pas à auditer les autres.
GitHub recommande d’auditer les clés SSH, les clés de déploiement et les applications autorisées comme des voies d’accès distinctes. Source
Liste de vérification avant et après
Utilisez ceci comme liste de travail. La colonne « avant » sert à rassembler les faits ; la colonne « après » sert à confirmer le résultat.
| Étape | Vérification | Pourquoi c’est important |
|---|---|---|
| Avant | Lister toutes les clés SSH affichées sur le compte, avec leur titre et tout détail d’empreinte ou de création visible | Vous avez besoin d’une vue complète avant de décider quelle entrée est inconnue |
| Avant | Associer chaque clé à un appareil ou une personne que vous pouvez nommer | Une clé non nommée est celle à remettre en question |
| Avant | Demander si un flux de travail actuel dépend de la clé (builds, déploiements, machine partagée) | Supprimer une clé activement utilisée casse ce flux de travail |
| Avant | Vérifier si le même accès est aussi accordé via des clés de déploiement ou des applications autorisées | Ce sont des voies distinctes qui nécessitent leur propre examen |
| Avant | Décider de la suite : conserver, remplacer ou supprimer | Une clé obsolète peut nécessiter un remplacement plutôt qu’une simple suppression |
| Après | Confirmer que la clé n’apparaît plus dans la liste des clés SSH du compte | La liste visible est votre première confirmation |
| Après | Confirmer que le flux de travail concerné fonctionne toujours, ou que vous avez une solution de remplacement | La suppression ne doit pas laisser un processus légitime bloqué |
| Après | Noter ce que vous avez supprimé et quand, sans enregistrer le matériel de la clé lui-même | Une trace aide aux futurs audits |
Supprimer une clé SSH de compte
La suppression elle-même se fait dans les paramètres du compte. Le chemin documenté par GitHub est Paramètres, puis Clés SSH et GPG, où vous pouvez examiner les clés SSH du compte et supprimer celles qui ne sont pas reconnues ou qui sont obsolètes.
Dans Paramètres, Clés SSH et GPG, examinez les clés SSH du compte et supprimez celles qui ne sont pas reconnues ou qui sont obsolètes. Source
Gardez le périmètre étroit. Cette étape supprime une clé SSH de compte. Elle ne supprime pas les clés de déploiement, ne révoque pas les applications autorisées et ne modifie pas le contenu des dépôts. Si votre audit a révélé des problèmes dans ces domaines, traitez-les comme des tâches distinctes.
Flux de travail légitimes à considérer avant de supprimer
Toutes les clés inconnues ne sont pas hostiles. Examinez ces situations courantes avant d’agir :
- Un appareil que vous n’utilisez plus. Un vieil ordinateur portable ou une machine de travail peut encore avoir une clé enregistrée. Si vous avez encore l’appareil, vous pouvez confirmer la correspondance ; sinon, la suppression est généralement la bonne décision.
- Une machine partagée ou d’équipe. Quelqu’un d’autre a peut-être ajouté une clé pour un usage légitime. Confirmez avec le propriétaire avant de la supprimer.
- Une configuration de déploiement ou d’automatisation. Si une clé est utilisée par un processus planifié, la supprimer peut arrêter ce processus. Identifiez d’abord la dépendance.
- Une clé que vous avez créée et oubliée. Les titres et les dates de création rappellent souvent des souvenirs. Si vous pouvez la faire correspondre à votre propre configuration passée, vous pouvez choisir de la conserver ou de la remplacer plutôt que de la supprimer.
En cas de doute, la séquence la plus sûre est d’identifier, puis de remplacer par une clé que vous contrôlez, puis de supprimer l’ancienne entrée. Cela maintient une voie fonctionnelle en place pendant que vous fermez l’inconnue.
Ce que ce processus ne fait pas
Supprimer une clé SSH est une action ciblée, pas un nettoyage complet du compte. Cela ne :
- révoque pas les applications OAuth ou autres intégrations autorisées ;
- supprime pas les clés de déploiement des dépôts ;
- prouve pas qui a créé la clé ni pourquoi ;
- confirme pas qu’aucune autre voie d’accès n’existe.
Traitez chacun de ces points comme une vérification distincte. Un audit est un ensemble de petites étapes vérifiables, pas un interrupteur unique.
Où une recherche de nom d’utilisateur intervient, et où elle n’intervient pas
Une recherche publique de nom d’utilisateur peut vous aider à voir à quoi un identifiant connu semble être associé sur les plateformes publiques. C’est un contexte utile lorsque vous essayez de comprendre une identité ou une empreinte en ligne. Ce n’est pas un moyen d’inspecter les paramètres du compte GitHub, et cela ne peut pas vous dire qui possède une clé SSH. TraceSeek, l’application couverte par TruthsSeek, vérifie les noms d’utilisateur publics connus sur plus de 3 000 plateformes et renvoie un premier scan en 20–30 secondes, le premier scan étant gratuit. Elle n’opère pas les paramètres GitHub, et une correspondance publique est une piste, pas une preuve de propriété.
Gérer les identifiants en toute sécurité
Ne publiez jamais une clé privée, un jeton ou un identifiant complet dans un chat, un ticket, une capture d’écran ou un message de forum. Si vous avez besoin d’aide pour identifier une clé, ne partagez que des détails non secrets comme son titre ou l’empreinte visible, et uniquement avec une personne de confiance. Si vous soupçonnez qu’une clé a été exposée, la supprimer du compte est une étape ; la rotation de tout ce qui en dépendait est une décision distincte à prendre délibérément.