Ce qu’est réellement une autorisation OAuth
Lorsque vous cliquez sur « Autoriser » pour une application tierce, GitHub enregistre une autorisation : l’application peut désormais agir en votre nom dans les limites des permissions que vous avez approuvées. Cette autorisation n’est ni votre session de navigateur, ni une clé SSH, ni une application GitHub installée avec ses propres paramètres d’installation. Chacun de ces éléments se révoque ou se supprime à un endroit différent ; la première étape consiste donc à identifier le type d’accès que vous avez réellement sous les yeux.
| Ce que vous voyez | Ce que c’est | Où cela se gère |
|---|---|---|
| Une application tierce listée avec les scopes que vous avez approuvés | Autorisation OAuth | Paramètres → Applications → Applications OAuth autorisées |
| Une paire de clés que vous avez ajoutée pour Git via SSH | Clé SSH | Paramètres → Clés SSH et GPG |
| Vous êtes connecté dans ce navigateur | Session de connexion | La déconnexion, ou la page des sessions |
| Une application installée sur un dépôt ou une organisation | Installation d’application GitHub | Les paramètres d’installation de l’application ou de l’organisation |
Si l’entrée que vous examinez n’est pas une autorisation OAuth, la révoquer depuis la liste OAuth ne résoudra rien.
Pourquoi examiner avant de révoquer
Une ancienne autorisation peut encore servir à quelque chose dont vous dépendez, comme un outil de déploiement, un plugin d’éditeur ou une intégration CI. La révoquer coupe l’accès de cette application via l’autorisation, ce qui est bien le but, mais cela peut aussi casser un flux de travail qui en dépend encore. Avant d’agir, vérifiez le nom de l’application, les permissions listées et la date de votre dernière utilisation.
GitHub recommande d’examiner les applications autorisées, y compris celles qui ont accès à des dépôts privés. Source
Si vous ne reconnaissez pas l’application, ou si l’accès qu’elle détient est plus large que la tâche qu’elle effectue, c’est le cas pour révoquer. Si vous la reconnaissez et l’utilisez encore, demandez-vous si les scopes actuels sont toujours appropriés avant de décider.
Liste de vérification avant et après
Utilisez-la comme un court relevé pour pouvoir dire ce qui a changé et annuler une erreur si nécessaire.
Avant de révoquer
- Notez le nom de l’application et les permissions affichées pour elle, afin de reconnaître la même entrée plus tard.
- Vérifiez si quelque chose que vous utilisez actuellement dépend de cette application : un build, un déploiement, une connexion d’éditeur, une tâche planifiée.
- Confirmez que vous êtes bien dans Applications OAuth autorisées et non dans les clés SSH, les sessions ou les applications installées.
- Décidez si vous voulez révoquer une autorisation précise ou toutes.
Après la révocation
- Rechargez la page Applications OAuth autorisées et confirmez que l’entrée a disparu.
- Exécutez une fois le flux de travail qui utilisait l’application, et notez s’il vous demande maintenant de réautoriser. Cette demande est le signe attendu que l’autorisation a été supprimée.
- Si un flux de travail casse et que vous en avez encore besoin, réautorisez délibérément et examinez les scopes demandés.
- Gardez votre méthode de récupération de compte en place jusqu’à être sûr que rien d’autre ne dépendait de l’accès révoqué.
Comment révoquer l’autorisation
Ouvrez les paramètres du compte, Applications dans Intégrations, puis Applications OAuth autorisées pour examiner les accès. Source
Dans la liste, ouvrez le menu de l’application précise que vous voulez supprimer.
Une autorisation non reconnue ou obsolète peut être révoquée depuis le menu de l’application ; la page propose aussi Tout révoquer. Source
Révoquez l’entrée unique lorsque vous voulez seulement supprimer une application. L’option Tout révoquer sert lorsque vous avez examiné la liste et voulez effacer toutes les autorisations ; elle affectera toutes les applications de cette page, pas seulement celle que vous regardiez.
Limites d’échec à garder en tête
- Révoquer n’est pas supprimer. Retirer l’autorisation empêche tout accès futur via celle-ci. Cela ne supprime pas les données que l’application a déjà stockées ou copiées en dehors de GitHub, et ce n’est pas une garantie d’effacement.
- Révoquer n’est pas se déconnecter. Votre session de navigateur sur GitHub est distincte ; révoquer une application ne vous déconnecte pas, et vous déconnecter ne révoque pas les autorisations d’application.
- Une clé SSH n’est pas une application OAuth. Si l’accès qui vous inquiète est une clé, sa suppression se fait dans les paramètres Clés SSH et GPG, pas dans Applications OAuth autorisées.
- Une application GitHub installée n’est pas la même entrée. L’accès au niveau de l’installation se gère là où l’application est installée ; vérifiez-y si l’application n’apparaît pas dans la liste OAuth.
- Une correspondance de nom d’utilisateur public n’est pas une preuve. Si vous vérifiez si un identifiant apparaît ailleurs, une correspondance sur un profil public est une piste, pas une preuve de propriété. TraceSeek peut rechercher des noms d’utilisateur publics connus sur plus de 3 000 plateformes, mais il ne peut ni examiner ni révoquer les paramètres GitHub à votre place.
Quand considérer une autorisation comme suspecte
Vous n’avez pas besoin d’une histoire dramatique pour agir. Les signaux pratiques sont : vous ne reconnaissez pas l’application, les permissions sont plus larges que la tâche qu’elle effectue, ou vous ne vous souvenez pas l’avoir autorisée. Dans ces cas, révoquer l’entrée précise est une étape raisonnable, suivie de la vérification que rien de ce dont vous dépendez ne cesse de fonctionner. Si un flux de travail casse, ne réautorisez qu’après avoir confirmé que l’application est bien celle que vous attendez et que les scopes correspondent à ses besoins.