Pourquoi un appareil dont on se sépare pose une question d’accès, pas de stockage
Quand vous cessez d’utiliser un téléphone, une tablette ou un ordinateur portable, l’appareil lui-même perd son importance — mais l’accès qu’il portait, non. Un client Mastodon qui était connecté sur cet appareil peut encore détenir un jeton (token) vers votre compte. La question à laquelle il vaut la peine de répondre avant que l’appareil ne quitte vos mains n’est pas « qu’y a-t-il sur le disque ? » mais « qu’est-ce qui peut encore agir en mon nom ? »
Ce guide distingue trois actions faciles à confondre : déconnecter une session, révoquer une application cliente et changer le mot de passe du compte. Elles ne sont pas interchangeables, et en faire une n’accomplit pas automatiquement les autres.
Les paramètres de compte Mastodon permettent de révoquer les sessions actives ou les applications autorisées. Source
La même section des paramètres de compte inclut le changement de mot de passe et l’authentification à deux facteurs. Source
C’est là tout le tableau officiel sur lequel s’appuie ce guide. Tout le reste ci-dessous est une façon d’organiser vos propres décisions, non une affirmation sur la formulation des menus ou les limites d’un serveur particulier.
Étape 1 : Inventorier l’appareil avant de le laisser partir
Commencez par l’appareil lui-même, tant que vous l’avez encore en main. Vous dressez une liste, vous ne corrigez rien pour l’instant.
- Ouvrez toutes les applications de l’appareil avec lesquelles vous vous êtes déjà connecté à votre compte Mastodon. Incluez l’application officielle, les clients tiers et tout ce qui vous a demandé d’autoriser un accès.
- Notez le nom du client tel qu’il apparaît dans l’application, pas tel que vous vous en souvenez. Deux clients d’un même développeur peuvent se ressembler dans une liste.
- Notez si l’application s’ouvre encore sur votre compte sans vous demander de vous reconnecter. Si oui, elle détient une session active.
- Écrivez toute connexion au niveau de l’appareil que vous avez utilisée, comme une session de navigateur sur la même machine.
- Avant d’effacer ou de remettre l’appareil, déconnectez-vous de chaque client que vous pouvez encore ouvrir. C’est la première passe courtoise et à faible risque — mais considérez-la comme du rangement, non comme la preuve que l’accès a disparu.
Une déconnexion effectuée sur un appareil que vous êtes sur le point de perdre est la plus faible des trois actions, car vous ne pouvez pas confirmer ensuite ce que le client a fait de son jeton. C’est pourquoi l’étape suivante se fait depuis un appareil que vous gardez.
Étape 2 : Examiner les sessions et les applications autorisées depuis un compte que vous contrôlez
Connectez-vous à votre compte Mastodon depuis un appareil que vous gardez. Dans les paramètres de compte, la même section couvre les sessions actives, les applications autorisées, le changement de mot de passe et l’authentification à deux facteurs. Ouvrez cette section et lisez la liste en la comparant à l’inventaire que vous venez d’écrire.
Ne supposez pas que la liste est triée de façon utile, et ne supposez pas qu’une entrée est inoffensive parce que le nom vous semble familier. Faites correspondre les entrées à votre fiche pratique par nom de client et par date de dernière utilisation de cet appareil. Si une entrée ne correspond à rien que vous reconnaissez, ne paniquez pas — vérifiez d’abord si elle correspond à un navigateur ou à un client que vous avez oublié. Si elle ne correspond toujours à rien, traitez-la comme inconnue et agissez en conséquence.
C’est aussi le moment de confirmer que votre configuration de récupération est intacte avant de changer quoi que ce soit. Changer un mot de passe alors que votre seule voie de récupération est une boîte mail que vous ne contrôlez plus, c’est ainsi que les gens se verrouillent dehors.
Étape 3 : Décider quoi faire de chaque entrée
Utilisez la fiche pratique ci-dessous. L’intérêt du tableau est de vous empêcher de sortir le plus gros marteau — un changement de mot de passe — pour un problème qu’une seule révocation résout, ou de vous contenter d’une déconnexion alors que le client est toujours autorisé.
| Client / session | Toujours utilisé ? | Action | Revérification |
|---|---|---|---|
| Application officielle sur le téléphone dont on se sépare | Non | Se déconnecter sur l’appareil si possible, puis révoquer le client depuis les paramètres de compte | Confirmer que l’entrée a disparu de la liste des autorisations |
| Client tiers sur la tablette dont on se sépare | Non | Révoquer le client depuis les paramètres de compte | Confirmer que l’entrée a disparu ; rouvrir l’application sur l’ancien appareil seulement si vous l’avez encore, pour voir qu’elle n’agit plus en votre nom |
| Session de navigateur de bureau sur une machine que vous vendez | Non | Se déconnecter de la session du navigateur, puis révoquer toute entrée de session restante | Se connecter depuis votre appareil gardé et confirmer que l’ancienne session n’apparaît plus |
| Client sur votre téléphone quotidien actuel | Oui | Le garder ; ne pas le révoquer | Aucune nécessaire |
| Client que vous ne pouvez pas identifier | Inconnu | Le révoquer, puis surveiller un client qui cesse de fonctionner et le réautoriser délibérément | Confirmer que l’entrée a disparu ; ne réautoriser que le client que vous utilisez réellement |
| Toute entrée, après une compromission suspectée | — | Changer le mot de passe et revoir l’authentification à deux facteurs dans la même section des paramètres | Se reconnecter sur vos appareils gardés et confirmer qu’il ne reste que les clients attendus |
Une règle de décision compacte, si vous en voulez une ligne : toujours utilisé, gardez-le ; non utilisé, révoquez-le ; inconnu, révoquez-le et réautorisez délibérément ; compromission suspectée, changez aussi le mot de passe.
Étape 4 : Comprendre ce que chaque action fait réellement — et ne fait pas
Ces trois actions diffèrent par leur portée, et aucune n’est une réinitialisation générale de votre présence publique.
- Déconnecter une session met fin à cette connexion sur cet appareil. C’est l’action la plus étroite et la plus facile à rater, car un client peut être déconnecté localement tout en restant autorisé au niveau du compte.
- Révoquer une application cliente retire l’autorisation de cette application. C’est le bon outil pour un client sur un appareil dont vous vous séparez. Ce n’est pas la même chose que supprimer l’application de l’appareil, et supprimer l’application n’est pas la même chose que la révoquer.
- Changer le mot de passe est une action de compte plus large. Elle relève d’une compromission suspectée, non d’un substitut à l’examen de la liste des autorisations.
Trois limites méritent d’être énoncées clairement, car ce sont des sources fréquentes de fausse confiance :
- Révoquer un accès ne supprime pas les publications que vous avez déjà publiées. Votre profil public et votre historique de publications sont une question distincte de l’autorisation d’application.
- Révoquer un accès ne change pas votre identifiant. Votre nom d’utilisateur est un attribut du compte, pas une permission de client.
- Révoquer un accès sur votre compte n’affecte pas les comptes que vous détenez sur d’autres serveurs. Les paramètres de compte de chaque serveur régissent le compte de ce serveur.
Erreurs courantes
- Prendre une déconnexion pour une révocation. Se déconnecter sur l’appareil que vous êtes sur le point de perdre vous dit peu de chose sur ce que le client détient encore. Révoquez depuis le compte.
- Supprimer l’application et considérer que c’est fait. Retirer une application d’un appareil ne retire pas son autorisation au niveau du compte.
- Changer le mot de passe d’abord et examiner ensuite. Un changement de mot de passe est une action large. Examinez d’abord la liste des autorisations pour savoir ce que vous réinitialisez et pouvoir confirmer le résultat ensuite.
- Tout révoquer dans la panique. Vous casserez des clients dont vous dépendez, puis vous les réautoriserez à la hâte, et c’est ainsi que les erreurs s’accumulent. Utilisez la fiche pratique.
- Supposer qu’une entrée inconnue est un intrus. Ce peut être un navigateur ou un client oublié. Enquêtez avant de conclure, mais ne laissez pas une entrée inconnue en place pendant que vous enquêtez.
- Supposer que la révocation masque vos publications publiques. Ce n’est pas le cas. Si votre préoccupation est la visibilité publique plutôt que l’accès des applications, c’est une autre tâche — voyez le guide existant sur le masquage de votre réseau Mastodon et l’examen des préférences d’indexation par les moteurs de recherche.
- Oublier l’authentification à deux facteurs. Elle se trouve dans la même section des paramètres que les sessions et le changement de mot de passe. Examinez-la dans la même passe plutôt qu’après coup.
Protéger votre propre empreinte une fois l’appareil parti
Une fois l’appareil dont vous vous êtes séparé hors de vos mains, le travail restant concerne la surface publique plutôt que l’accès des applications. Deux choses méritent d’être séparées dans votre esprit :
Les identifiants publics sont des pistes, pas des preuves. Si vous recherchez un nom d’utilisateur et trouvez des identifiants, des photos ou des biographies correspondants sur plusieurs plateformes, c’est un ensemble de pistes. Ce n’est pas la preuve que les comptes appartiennent à une seule personne. Les gens réutilisent des identifiants, copient des biographies et partagent des photos de profil ; le même identifiant sur deux plateformes peut appartenir à deux personnes différentes. Traitez chaque correspondance comme quelque chose à corroborer, jamais comme une identification.
Une recherche de nom d’utilisateur n’est pas un inventaire de comptes. Rechercher un identifiant vous dit où cette chaîne apparaît publiquement. Cela n’énumère pas tous les comptes qu’une personne détient, et cela ne vous dit pas quels comptes sont actifs, dormants ou renommés. Si vous examinez votre propre empreinte, partez des identifiants que vous savez avoir utilisés et vérifiez chacun d’eux délibérément.
Si vous voulez un point de départ pour cet auto-examen, TraceSeek vérifie un nom d’utilisateur sur plus de 3 000 plateformes et renvoie les correspondances publiques en environ 20–30 secondes, avec un premier scan gratuit. Il rapporte ce qui est publiquement visible ; il ne modifie pas les paramètres sur une plateforme, ne garantit pas une correspondance et ne vérifie l’identité de personne. Pour savoir comment lire les correspondances, consultez la page de méthodologie.
Faits clés
- Les paramètres de compte Mastodon permettent de révoquer les sessions actives ou les applications autorisées.
- La même section des paramètres de compte inclut le changement de mot de passe et l’authentification à deux facteurs.
- Déconnecter une session, révoquer une application cliente et changer le mot de passe sont des actions distinctes de portée différente.
- Révoquer l’accès d’une application ne supprime pas les publications publiées, ne change pas un identifiant et n’affecte pas les comptes sur d’autres serveurs.
- Une correspondance publique de nom d’utilisateur est une piste à corroborer, pas la preuve que des comptes appartiennent à la même personne.