Où se trouve la liste des autorisations
GitLab conserve les applications que vous avez autorisées dans une liste unique au niveau du compte. Ouvrez les paramètres de votre profil, puis Modifier le profil, puis Accès, puis Applications. Cette page est votre inventaire OAuth : elle affiche les applications tierces qui peuvent agir en votre nom, ainsi que les portées (scopes) que chacune détient.
GitLab liste les applications autorisées sous Modifier le profil, Accès, Applications. Source
Ce n’est pas la même chose que les jetons d’accès de projet (project access tokens) ou les clés de déploiement (deploy keys). Ces derniers sont des identifiants liés à un dépôt ou à un projet ; les applications autorisées sont liées à votre compte utilisateur et peuvent y accéder de manière transversale. Auditez-les séparément, afin qu’une liste OAuth propre ne vous donne pas une fausse impression de sécurité concernant les identifiants de projet.
Ce que les portées vous indiquent
Les portées (scopes) décrivent l’étendue de l’accès d’une application. Elles ne sont pas toutes équivalentes, et vous ne devez pas supposer que chaque application est en lecture seule. Une application qui ne lit que votre profil présente un risque différent d’une application disposant d’un accès API étendu capable d’écrire ou d’agir sur l’ensemble de votre compte.
Les applications autorisées peuvent être révoquées ; leurs portées peuvent aller de la lecture du profil à un accès API étendu. Source
Le point pratique : lisez la ligne des portées avant de décider. Si vous ne pouvez pas expliquer pourquoi une application a besoin de l’accès qu’elle détient, c’est cette application qu’il faut questionner en premier.
Tableau de décision pour chaque application autorisée
| Ce que vous voyez | Ce que cela signifie | Action suggérée |
|---|---|---|
| Application que vous reconnaissez, portée conforme à son objectif, toujours utilisée | Autorisation attendue | Conservez-la ; notez la portée pour un examen ultérieur |
| Application que vous reconnaissez mais que vous n’utilisez plus | Autorisation obsolète | Révoquez-la |
| Application que vous ne reconnaissez pas du tout | Autorisation inconnue | Enquêtez avant de révoquer ; vérifiez si un collègue ou une intégration l’a ajoutée |
| Application avec une portée API étendue que vous ne pouvez pas justifier | Accès trop large | Révoquez ou réduisez ; ne supposez pas qu’elle est en lecture seule |
| Application que vous soupçonnez d’être compromise | Risque actif | Révoquez rapidement, puis examinez l’activité du compte |
Checklist d’auto-évaluation
- Ouvrez Modifier le profil, Accès, Applications et listez toutes les applications autorisées.
- Pour chacune, écrivez une ligne : ce qu’elle est, pourquoi elle a accès, et sa portée.
- Révoquez tout ce que vous ne pouvez pas justifier.
- Révoquez les applications obsolètes que vous n’utilisez plus.
- Revérifiez la liste après quelques semaines ; de nouvelles autorisations peuvent apparaître sans que vous ayez remarqué d’invite.
- Tenez cet audit à l’écart de la revue des jetons d’accès de projet.
Limites honnêtes
Révoquer une application met fin à son accès futur via cette autorisation. Cela ne pénètre pas dans les systèmes propres de l’application pour supprimer les données déjà copiées, exportées ou mises en cache. Si une application a stocké les informations de votre profil, la révocation n’est pas une demande de suppression. Considérez la révocation comme la fermeture d’une porte, non comme le nettoyage de la pièce.
La révocation ne rend pas non plus votre profil GitLab privé. La visibilité du profil et l’autorisation des applications sont des paramètres distincts ; modifier l’un ne change pas l’autre.
Après avoir révoqué
Votre empreinte publique est plus large que la liste OAuth d’une seule plateforme. Savoir quels identifiants sont visibles publiquement vous aide à décider où chercher ensuite. TraceSeek vérifie un nom d’utilisateur sur plus de 3 000 plateformes et renvoie les correspondances publiques en 20–30 secondes, avec un premier scan gratuit et sans inscription requise. Ces correspondances sont des pistes, pas une preuve d’identité, et l’application ne modifie pas les paramètres des plateformes ni ne voit les informations privées. Pour un balayage plus large, consultez retrouver les comptes en ligne oubliés ; pour comprendre comment les résultats sont présentés, lisez notre méthodologie.
Faits clés
- GitLab liste les applications autorisées sous Modifier le profil, Accès, Applications.
- Les applications autorisées peuvent être révoquées, et leurs portées peuvent aller de la lecture du profil à un accès API étendu.
- Révoquer une application autorisée ne supprime pas les données que l’application a déjà copiées.
- Les applications autorisées sont des autorisations au niveau du compte, distinctes des jetons d’accès de projet.
- TraceSeek vérifie un nom d’utilisateur sur plus de 3 000 plateformes et renvoie les correspondances publiques en 20–30 secondes.