L’erreur se produit au moment du copier-coller
La plupart des fuites de ce type ne sont pas des attaques. Ce sont des erreurs de copier-coller commises quelques minutes avant la publication d’une bio, d’une page de portfolio ou d’une signature de forum. La barre d’adresse du navigateur peut afficher une adresse de flux alors que la page consultée ressemble à « mon activité » : l’URL copiée est donc celle qui authentifie une requête, et non celle qui désigne simplement votre profil.
L’URL du flux d’activité personnel de GitLab contient un jeton qui authentifie la requête du flux. Source
C’est toute la raison pour laquelle cette vérification compte : le jeton n’est pas un secret distinct que vous pourrez révoquer plus tard de façon isolée. Il est intégré au lien, et c’est ce lien que vous êtes sur le point de publier.
Une URL de profil public et une URL de flux d’activité authentifiée ont des usages différents. Source
Considérez cette phrase comme la règle de décision pour le reste de ce guide. Si l’URL que vous tenez peut servir à récupérer le contenu privé d’un flux, ce n’est pas un lien de profil, quelle que soit son apparence.
Étape 1 : identifier le type de lien que vous tenez
Vous n’avez pas besoin de comprendre le format du jeton pour prendre la décision. Vous devez savoir quelle page a produit l’URL. Utilisez le tableau ci-dessous comme liste de contrôle avant toute publication publique.
| Ce que vous avez copié | Signe typique | Sûr à publier ? | Que faire |
|---|---|---|---|
| URL de la page de profil | Ouvre votre profil lorsque vous êtes déconnecté | Oui, si le profil lui-même est public | Utilisez celle-ci |
| URL du flux d’activité | Contient un long segment de jeton et renvoie les données du flux | Non | Écartez-la ; ne la collez pas, ne la raccourcissez pas, ne faites pas de capture d’écran |
| Un lien provenant d’une page de paramètres ou de jetons | Vous étiez dans une zone authentifiée au moment du copier | À traiter comme privé | Remplacez-le par l’URL de profil |
| Un lien que quelqu’un d’autre vous a envoyé | Origine inconnue | Non vérifié | Ouvrez-le déconnecté avant de lui faire confiance |
Deux limites méritent d’être clairement énoncées. Premièrement, ce tableau est une routine d’inspection éditoriale, pas une fonctionnalité de la plateforme ; GitLab n’étiquette pas les liens à votre place. Deuxièmement, une URL qui s’ouvre correctement dans votre navigateur connecté ne prouve rien, car votre session peut fournir un accès qu’un inconnu n’aurait pas.
Un test pratique qui n’expose rien : ouvrez le lien candidat dans une fenêtre de navigation privée où vous n’êtes pas connecté. S’il vous demande de vous authentifier, ou s’il renvoie un contenu de flux que vous ne voudriez pas qu’un inconnu lise, arrêtez et retournez à votre page de profil pour copier à nouveau l’adresse. Ne collez pas l’URL qui échoue dans un chat, un ticket ou une publication publique pour la « vérifier ».
Étape 2 : remplacez-la par l’URL de profil public
Une fois que vous avez déterminé qu’un lien est du mauvais type, le remplacer est l’action sûre. La séquence suivante empêche l’URL privée de passer par tous les endroits intermédiaires où elle pourrait être stockée.
- Fermez l’onglet qui affiche le flux ou l’adresse porteuse de jeton sans la copier à nouveau.
- Accédez à votre profil de la manière habituelle, via l’interface du site plutôt que par un signet enregistré vers le flux.
- Vérifiez que le profil est bien celui que vous comptez publier et que sa visibilité correspond à ce que vous attendez.
- Copiez l’adresse depuis la page de profil uniquement.
- Collez-la d’abord dans un éditeur de texte brut, pas directement dans le champ de bio, afin de pouvoir examiner la chaîne complète avant qu’elle n’aille ailleurs.
- Comparez la chaîne collée au tableau ci-dessus. Si une partie ressemble à un long identifiant d’authentification plutôt qu’à un nom ou un chemin, écartez-la et reprenez à l’étape 2.
- Collez l’URL de profil vérifiée dans la bio, puis prévisualisez la bio telle qu’un visiteur déconnecté la verrait.
L’étape 5 n’est pas une formalité. Les champs de bio, les éditeurs de texte enrichi et les aperçus de liens peuvent stocker ou récupérer ce que vous collez, et une récupération d’aperçu d’une URL porteuse de jeton est un endroit de plus où le lien a circulé.
Étape 3 : décidez si le flux lui-même doit être visible
Un lien de profil et un lien de flux sont deux questions distinctes. Vous pouvez avoir une URL de profil parfaitement sûre et être néanmoins mal à l’aise avec ce que votre activité révèle. C’est une décision de visibilité, pas une décision de format de lien, et elle doit être prise avant de publier quoi que ce soit qui oriente les gens vers votre profil.
Le flux personnel inclut l’activité des projets d’adhésion, quel que soit l’onglet d’activité ou le filtre sélectionné. Source
Cela compte pour la décision à prendre : si vous comptez sur un onglet ou un filtre pour garder certaines activités hors de vue, le comportement du flux décrit ci-dessus signifie que le filtre n’est pas une frontière de confidentialité. Décidez si le flux dans son ensemble est acceptable, plutôt que de supposer qu’une vue plus étroite vous protège.
Si vous concluez qu’il ne l’est pas, l’étape suivante consiste à examiner ce qui reste visible publiquement après avoir ajusté la visibilité de votre profil, et pas seulement à modifier un réglage puis à passer à autre chose. Un complément utile est le guide sur rendre votre profil GitLab privé et vérifier ce qui reste public, qui traite l’aspect visibilité de cette décision.
Si le lien a déjà été partagé
Agissez en partant du principe que tout ce qui a été publié publiquement a pu être copié, mis en cache ou indexé, même si vous le supprimez une minute plus tard. Supprimer une publication ne rappelle pas les copies que d’autres personnes ou des systèmes automatisés ont déjà faites, et ce guide ne prétendra pas le contraire.
Utilisez les contrôles autorisés de jetons et de compte du site, ou ses canaux de support, pour traiter un identifiant d’authentification qui a été exposé. Le chemin de menu exact et les options de récupération disponibles ne sont pas établis par les éléments examinés ici ; vérifiez-les dans votre compte plutôt que de suivre une séquence mémorisée d’une ancienne interface. Ne collez pas l’URL exposée dans un ticket public, une publication sur les réseaux sociaux demandant de l’aide ou un site tiers ; décrivez le problème sans reproduire le lien.
Après avoir agi par la voie autorisée, revérifiez les endroits où vous avez publié : champs de bio sur chaque site, signatures, pages de portfolio, publications épinglées et tout document que vous avez partagé. Remplacez chaque occurrence par l’URL de profil, et notez les endroits que vous n’avez pas pu modifier.
Où intervient une recherche de nom d’utilisateur, et où elle s’arrête
Si votre préoccupation est l’ampleur de la réutilisation d’un pseudonyme sur différents sites, une recherche de nom d’utilisateur peut faire apparaître des correspondances publiques à examiner. TraceSeek couvre plus de 3 000 plateformes et propose une première analyse gratuite qui, selon le produit, prend 20–30 secondes. C’est une étape de prospection, pas une preuve de propriété : un pseudonyme identique sur un autre site peut appartenir à quelqu’un d’autre, et une recherche n’est pas un inventaire complet de tous les comptes.
Ce qu’une recherche ne peut pas faire, c’est vous dire si une URL précise que vous avez copiée contient un identifiant d’authentification. Ce jugement vient de l’inspection de l’étape 1. Gardez les deux tâches séparées : utilisez la recherche pour trouver des profils publics à examiner, et la vérification du type de lien pour décider de ce qui peut être publié sans risque.
Liste de contrôle rapide avant de coller
- J’ai copié l’URL depuis ma page de profil, pas depuis un flux, une page de paramètres ou de jetons.
- La chaîne complète ne contient aucun long segment ressemblant à un identifiant d’authentification.
- Le lien s’ouvre comme prévu dans une fenêtre privée sans session.
- Je l’ai collé dans un éditeur de texte brut avant le champ de bio.
- J’ai prévisualisé la bio comme un visiteur déconnecté.
- J’ai décidé si le flux d’activité dans son ensemble peut être exposé.
- Si j’ai déjà partagé un lien de flux, j’ai utilisé les contrôles de compte autorisés ou le support et je n’ai pas republié le lien.
- J’ai revérifié chaque endroit où l’ancien lien apparaissait.
Si une case n’est pas cochée, la valeur par défaut sûre est de ne rien publier et de revenir à la page de profil pour une nouvelle copie.