Ce que cette tâche implique réellement
Révoquer une ancienne session GitLab ressemble à un simple clic, mais c’est en réalité une tâche d’examen avec deux effets distincts. Un effet est limité à la session que vous sélectionnez. L’autre va au-delà de cette session et met fin aux jetons de connexion mémorisée partout. Comprendre les deux avant de cliquer vous évite de vous verrouiller vous-même ou de supposer que davantage de choses ont été nettoyées qu’elles ne l’ont été.
Ce guide ne couvre que la liste des sessions du propriétaire lui-même. Il ne traite pas de l’administration du serveur, des commandes de la console Rails ni des modifications du compte de quelqu’un d’autre.
Étape 1 : Accéder à la liste des sessions et la lire avant d’agir
Un propriétaire GitLab peut ouvrir Modifier le profil, Accès, Sessions actives et révoquer une session indésirable.
Un propriétaire GitLab peut ouvrir Modifier le profil, Accès, Sessions actives et révoquer une session indésirable. Source
Avant de révoquer quoi que ce soit, considérez la liste comme quelque chose à lire, pas seulement à vider. Pour chaque entrée, notez ce que vous pouvez réellement voir : la description de l’appareil ou du navigateur, la date de dernière activité de la session et si vous la reconnaissez comme la vôtre. Une session que vous ne reconnaissez pas est une raison de regarder de plus près, pas une preuve automatique que quelqu’un d’autre a votre mot de passe. Les ordinateurs partagés, les anciens téléphones et les navigateurs que vous n’utilisez plus peuvent tous produire des entrées qui semblent inconnues.
Un ordre pratique est le suivant :
- Identifiez la session que vous utilisez en ce moment, afin de savoir quelle entrée doit rester.
- Marquez les entrées que vous ne pouvez pas expliquer.
- Décidez si le problème est une session obsolète ou une préoccupation plus large concernant les connexions mémorisées.
- Ne révoquez qu’ensuite.
Étape 2 : Savoir ce que la session en cours ne fait pas
La session active en cours n’est pas révoquée par cette action.
La session active en cours n’est pas révoquée par cette action. Source
C’est le détail le plus susceptible de prêter à confusion. Révoquer une ancienne session ne vous déconnecte pas du navigateur dans lequel vous travaillez. C’est pratique, car cela signifie que l’action de nettoyage n’interrompt pas l’examen lui-même. Cela signifie aussi que si votre objectif est de mettre fin à la session que vous utilisez actuellement, révoquer une autre entrée n’y parviendra pas. Se déconnecter de la session en cours est une action distincte de la révocation d’une session listée.
Étape 3 : Tenir compte de l’effet plus large sur les connexions mémorisées
Révoquer une session révoque aussi les jetons « Se souvenir de moi » sur tous les appareils.
Révoquer une session révoque aussi les jetons « Se souvenir de moi » sur tous les appareils. Source
C’est la partie qui change la portée de la tâche. Vous pouvez avoir l’intention de supprimer une ancienne entrée, mais l’effet sur les connexions mémorisées est plus large que cette seule entrée. Si d’autres appareils dépendent de connexions mémorisées, attendez-vous à ce que ces connexions mémorisées prennent fin, et prévoyez de vous reconnecter sur ces appareils avec des identifiants que vous contrôlez toujours.
Cette étape de planification est importante. Avant de révoquer, confirmez que vous pouvez toujours vous connecter par une méthode que vous contrôlez, comme votre mot de passe ou un autre chemin de récupération déjà configuré sur le compte. Ne supprimez pas et ne remplacez pas votre méthode de récupération dans le cadre de ce nettoyage. Gardez-la en place jusqu’à ce que vous ayez confirmé que le compte est dans l’état souhaité.
Tableau de décision : une session ou une réinitialisation plus large des connexions mémorisées
| Ce que vous avez observé | Ce que fait la révocation | Ce qu’il faut prévoir |
|---|---|---|
| Une session obsolète que vous reconnaissez comme un ancien appareil vous appartenant | Met fin à cette session ; la session en cours reste active ; les jetons « Se souvenir de moi » expirent sur tous les appareils | Se reconnecter sur tout appareil qui dépendait d’une connexion mémorisée |
| Une session que vous ne pouvez pas expliquer | Identique à ci-dessus | La considérer comme une invitation à revoir la sécurité de vos connexions, pas comme la preuve d’une intrusion |
| Vous voulez mettre fin à la session que vous utilisez maintenant | Révoquer une session listée ne le fait pas | Se déconnecter de la session en cours séparément |
| Plusieurs entrées inconnues | Chaque révocation entraîne le même effet plus large sur les connexions mémorisées | Décider si des révocations répétées sont nécessaires et garder votre chemin de récupération intact |
Étape 4 : Vérifier le résultat honnêtement
La liste des sessions est l’endroit où confirmer ce qui a changé. Vérifiez que l’entrée ciblée a disparu et que la session que vous utilisez est toujours présente. Vérifiez ensuite les appareils que vous vous attendiez à voir affectés par le changement de connexion mémorisée et reconnectez-vous là où c’est nécessaire.
Soyez prudent quant à ce que la liste peut et ne peut pas vous dire. La disparition d’une entrée de la liste montre que la session a été révoquée. Elle ne vous dit pas, à elle seule, pourquoi la session existait, qui l’a utilisée ni si autre chose sur le compte a changé. Si vous avez révoqué une session parce que vous ne la reconnaissiez pas, la suite logique est de revoir la sécurité de vos connexions plutôt que de supposer que l’affaire est close.
Erreurs courantes
- Révoquer par erreur la session dans laquelle vous travaillez. La session en cours n’est pas révoquée par cette action, donc cette erreur précise ne se produit pas ; mais se déconnecter séparément interrompra votre examen. Terminez l’examen avant de vous déconnecter.
- Supposer qu’une révocation a nettoyé tous les appareils. L’effet sur les connexions mémorisées est plus large que la seule session, mais la liste des sessions ne donne toujours pas une image complète de tous les endroits où vous vous êtes déjà connecté.
- Supprimer votre méthode de récupération trop tôt. Gardez un chemin de récupération que vous contrôlez jusqu’à ce que vous ayez confirmé que le compte est dans l’état souhaité.
- Considérer une entrée inconnue comme une intrusion prouvée. C’est une piste pour un examen plus approfondi, pas une conclusion.
Une tâche suivante utile
Les sessions GitLab concernent un seul compte. Si votre préoccupation est plus large, la même discipline consistant à séparer une session d’une personne s’applique ailleurs. Le guide sur l’examen des appareils d’un compte Google sans confondre sessions et personnes détaille cette distinction pour un autre compte, et c’est une suite naturelle une fois que vous avez terminé ici.
Si une partie de votre préoccupation concerne ce à quoi un nom d’utilisateur est publiquement associé, une recherche de nom d’utilisateur peut montrer des correspondances publiques comme pistes. TraceSeek couvre plus de 3 000 plateformes, et la première analyse est gratuite et prend 20–30 secondes. Les correspondances publiques sont des pistes, pas une preuve de propriété, et une recherche de nom d’utilisateur n’est pas un inventaire complet de compte.