Pourquoi un identifiant par client est important
Un client Bluesky tiers est un logiciel distinct qui se connecte à votre compte. Si vous lui confiez votre mot de passe principal, chaque client partage un même secret et une même portée d’exposition. Un mot de passe d’application limite cette exposition : c’est un identifiant distinct que vous pouvez retirer sans changer le mot de passe que vous utilisez partout ailleurs.
La documentation officielle de l’écosystème Bluesky recommande d’utiliser des mots de passe d’application plutôt que le mot de passe principal du compte pour les clients tiers compatibles. Source
Cette recommandation concerne l’hygiène des identifiants, et non la confiance accordée à un client particulier. La même documentation officielle fixe également une limite stricte que vous devez connaître avant de compter sur un mot de passe d’application comme filet de sécurité.
Les mots de passe d’application disposent de larges capacités sur le compte, mais sont restreints pour les actions destructrices telles que la suppression ou la migration du compte, et pour la création d’autres mots de passe d’application. Source
Ainsi, un mot de passe d’application n’est pas en lecture seule. Il peut agir largement sur votre compte, mais il ne peut ni supprimer ni migrer le compte, et il ne peut pas générer d’autres mots de passe d’application. Organisez votre inventaire en fonction de cette asymétrie.
Inventaire client-identifiant
Établissez le tableau avant de révoquer quoi que ce soit. Listez chaque client que vous reconnaissez, l’identifiant qu’il utilise et ce qui en dépend.
| Client ou outil | Identifiant utilisé | Toujours nécessaire ? | Étape de retrait |
|---|---|---|---|
| Client mobile ou de bureau | Mot de passe d’application dédié | Oui / Non | Révoquer dans les paramètres officiels après déconnexion |
| Outil de planification ou de publication croisée | Mot de passe d’application dédié | Oui / Non | Déconnecter l’outil, puis révoquer |
| Expérimentation ponctuelle | Mot de passe d’application que vous ne pouvez pas identifier | Généralement non | Révoquer l’entrée correspondante |
| Entrée inconnue | Incertain | À examiner d’abord | Faire correspondre par date de création et libellé |
Deux règles garantissent la fiabilité du tableau. Premièrement, un client doit correspondre à un mot de passe d’application ; si deux outils partagent un identifiant, vous ne pouvez pas en retirer un sans casser l’autre. Deuxièmement, un client connecté n’est pas la preuve d’un autre compte public. Un outil autorisé à publier ne crée pas une seconde identité, et une correspondance de profil public ailleurs est une piste, pas une preuve de propriété.
Liste de retrait
- Ouvrez les paramètres officiels du compte et examinez la liste des mots de passe d’application et des accès connectés.
- Faites correspondre chaque entrée à un client en utilisant le libellé et la date de création, sans deviner.
- Déconnectez d’abord le client, puis révoquez son mot de passe d’application, afin que l’outil ne réessaie pas avec un identifiant obsolète.
- Conservez votre mot de passe principal et une méthode de récupération que vous contrôlez jusqu’à avoir confirmé que le client n’a plus accès.
- Revérifiez la liste après une semaine ; une entrée que vous ne pouvez pas expliquer mérite d’être révoquée.
Ne supposez pas que la révocation supprime les données que le client a déjà stockées, et ne considérez pas la déconnexion d’un identifiant comme une suppression de compte. Si vous cartographiez des comptes plus anciens de manière plus large, le guide pour retrouver des comptes en ligne oubliés couvre cette habitude d’inventaire ; notre méthodologie explique comment nous décrivons les limites des outils.
Où intervient une vérification de nom d’utilisateur
L’examen des identifiants répond à la question « qui peut agir en mon nom ». Une question distincte est « quels identifiants publics me sont associés ». TraceSeek vérifie un nom d’utilisateur sur plus de 3 000 plateformes en 20–30 secondes, avec un premier scan gratuit et sans inscription requise pour celui-ci. Les résultats sont des correspondances publiques, pas une preuve de propriété, et l’application ne modifie pas les paramètres des plateformes ni ne révèle d’informations privées. Utilisez-la pour lister vos identifiants connus, puis examinez chacun dans ses propres paramètres officiels.
Faits clés
- La documentation officielle de l’écosystème Bluesky recommande d’utiliser des mots de passe d’application plutôt que le mot de passe principal du compte pour les clients tiers compatibles.
- Les mots de passe d’application disposent de larges capacités sur le compte, mais sont restreints pour les actions destructrices telles que la suppression ou la migration du compte.
- Les mots de passe d’application ne peuvent pas être utilisés pour créer d’autres mots de passe d’application.
- TraceSeek vérifie un nom d’utilisateur sur plus de 3 000 plateformes en 20–30 secondes, avec un premier scan gratuit.