GitLab एक्टिविटी फ़ीड टोकन को सार्वजनिक प्रोफ़ाइल लिंक में न रखें

गलती कॉपी करते समय होती है

इस तरह के ज़्यादातर लीक हमले नहीं होते। ये बायो, पोर्टफ़ोलियो पेज या फ़ोरम सिग्नेचर प्रकाशित करने से कुछ मिनट पहले की कॉपी-पेस्ट गलतियाँ होती हैं। ब्राउज़र का एड्रेस बार फ़ीड पता दिखा सकता है, जबकि आप जिस पेज को देख रहे हैं वह “मेरी एक्टिविटी” जैसा लगता है, इसलिए जो URL कॉपी होता है वह अनुरोध को प्रमाणित करने वाला होता है, न कि वह जो केवल आपकी प्रोफ़ाइल का नाम बताता है।

GitLab के व्यक्तिगत एक्टिविटी फ़ीड URL में एक टोकन होता है जो फ़ीड अनुरोध को प्रमाणित करता है। स्रोत

यही कारण है कि यह जाँच मायने रखती है: टोकन कोई अलग रहस्य नहीं है जिसे आप बाद में अलग से रद्द कर सकें। यह लिंक में अंतर्निहित है, और लिंक ही वह चीज़ है जिसे आप प्रकाशित करने वाले हैं।

सार्वजनिक प्रोफ़ाइल URL और प्रमाणित एक्टिविटी-फ़ीड URL अलग-अलग उद्देश्य पूरे करते हैं। स्रोत

इस वाक्य को इस गाइड के बाकी हिस्से के लिए निर्णय नियम मानें। अगर आपके हाथ में मौजूद URL का उपयोग निजी फ़ीड सामग्री लाने के लिए किया जा सकता है, तो वह प्रोफ़ाइल लिंक नहीं है, चाहे वह कैसा भी दिखे।

चरण 1: पहचानें कि आपके पास कौन-सा लिंक प्रकार है

निर्णय लेने के लिए आपको टोकन का प्रारूप समझने की ज़रूरत नहीं है। आपको यह जानना है कि URL किस पेज से बना। कुछ भी सार्वजनिक रूप से पेस्ट करने से पहले नीचे दी गई तालिका को जाँच सूची के रूप में उपयोग करें।

दो सीमाएँ स्पष्ट रूप से बताने योग्य हैं। पहला, यह तालिका एक संपादकीय जाँच प्रक्रिया है, प्लेटफ़ॉर्म सुविधा नहीं; GitLab आपके लिए लिंक लेबल नहीं करता। दूसरा, आपके अपने लॉग-इन ब्राउज़र में ठीक खुलने वाला URL कुछ साबित नहीं करता, क्योंकि आपका सत्र वह पहुँच दे रहा हो सकता है जो किसी अजनबी के पास नहीं होगी।

एक व्यावहारिक परीक्षण जो कुछ भी उजागर नहीं करता: उम्मीदवार लिंक को एक निजी विंडो में खोलें जहाँ आप साइन इन नहीं हैं। अगर यह आपसे प्रमाणित होने के लिए कहता है, या ऐसी फ़ीड सामग्री लौटाता है जिसे आप किसी अजनबी को पढ़ते नहीं देखना चाहेंगे, तो रुकें और पता फिर से कॉपी करने के लिए अपने प्रोफ़ाइल पेज पर वापस जाएँ। असफल URL को “जाँचने” के लिए चैट, टिकट या सार्वजनिक पोस्ट में पेस्ट न करें।

चरण 2: इसे सार्वजनिक प्रोफ़ाइल URL से बदलें

एक बार जब आप तय कर लें कि लिंक गलत प्रकार का है, तो प्रतिस्थापन सुरक्षित कार्रवाई है। निम्नलिखित क्रम निजी URL को हर उस मध्यवर्ती स्थान से बाहर रखता है जहाँ वह संग्रहीत हो सकता है।

1. फ़ीड या टोकन वाला पता दिखाने वाला टैब बंद करें, बिना उसे फिर से कॉपी किए।
2. सामान्य तरीके से अपनी प्रोफ़ाइल पर जाएँ, साइट इंटरफ़ेस के माध्यम से, न कि फ़ीड के सहेजे गए बुकमार्क से।
3. पुष्टि करें कि प्रोफ़ाइल वही है जिसे आप प्रकाशित करना चाहते हैं, और उसकी दृश्यता वैसी ही है जैसी आप अपेक्षा करते हैं।
4. पता केवल प्रोफ़ाइल पेज से कॉपी करें।
5. इसे पहले सीधे बायो फ़ील्ड में नहीं, बल्कि एक सादे टेक्स्ट एडिटर में पेस्ट करें, ताकि कहीं भी जाने से पहले आप पूरी स्ट्रिंग देख सकें।
6. पेस्ट की गई स्ट्रिंग को ऊपर दी गई तालिका से मिलाएँ। अगर कोई भाग नाम या पथ के बजाय लंबे क्रेडेंशियल जैसा दिखता है, तो उसे त्याग दें और चरण 2 से दोहराएँ।
7. सत्यापित प्रोफ़ाइल URL को बायो में पेस्ट करें, फिर बायो का पूर्वावलोकन करें जैसे कोई लॉग-आउट आगंतुक उसे देखेगा।

चरण 5 औपचारिकता नहीं है। बायो फ़ील्ड, रिच-टेक्स्ट एडिटर और लिंक पूर्वावलोकन आपके द्वारा पेस्ट की गई चीज़ को संग्रहीत या ला सकते हैं, और टोकन वाले URL का पूर्वावलोकन लाना एक और जगह है जहाँ लिंक गया है।

चरण 3: तय करें कि फ़ीड स्वयं दिखाई देना चाहिए या नहीं

प्रोफ़ाइल लिंक और फ़ीड लिंक अलग-अलग प्रश्न हैं। आपके पास पूरी तरह सुरक्षित प्रोफ़ाइल URL हो सकता है और फिर भी आप असहज हो सकते हैं कि आपकी एक्टिविटी कितना कुछ उजागर करती है। यह दृश्यता का निर्णय है, लिंक-प्रारूप का नहीं, और इसे कुछ भी प्रकाशित करने से पहले लिया जाना चाहिए जो लोगों को आपकी प्रोफ़ाइल की ओर इंगित करता है।

व्यक्तिगत फ़ीड में सदस्यता परियोजनाओं की एक्टिविटी शामिल होती है, चाहे कोई भी एक्टिविटी टैब या फ़िल्टर चुना गया हो। स्रोत

यह निर्णय के लिए मायने रखता है: अगर आप कुछ एक्टिविटी को दृष्टि से बाहर रखने के लिए किसी टैब या फ़िल्टर पर निर्भर हैं, तो ऊपर वर्णित फ़ीड व्यवहार का अर्थ है कि फ़िल्टर गोपनीयता सीमा नहीं है। तय करें कि क्या फ़ीड समग्र रूप से स्वीकार्य है, बजाय यह मानने के कि कोई संकीर्ण दृश्य आपकी रक्षा करता है।

अगर आप निष्कर्ष निकालते हैं कि यह स्वीकार्य नहीं है, तो अगला कदम यह समीक्षा करना है कि प्रोफ़ाइल दृश्यता समायोजित करने के बाद सार्वजनिक रूप से क्या दिखाई देता रहता है, न कि केवल एक सेटिंग बदलकर आगे बढ़ना। एक प्रासंगिक अनुवर्ती गाइड है अपनी GitLab प्रोफ़ाइल को निजी बनाना और जाँचना कि क्या सार्वजनिक रहता है, जो इस निर्णय के दृश्यता पक्ष को संबोधित करता है।

अगर लिंक पहले ही साझा हो चुका है

इस धारणा पर कार्य करें कि सार्वजनिक रूप से प्रकाशित कोई भी चीज़ कॉपी, कैश या इंडेक्स हो सकती है, भले ही आप उसे एक मिनट बाद हटा दें। पोस्ट हटाने से उन प्रतियों को वापस नहीं बुलाया जाता जो दूसरों या स्वचालित सिस्टम पहले ही बना चुके हैं, और यह गाइड ऐसा दिखावा नहीं करेगा।

उजागर हो चुके क्रेडेंशियल से निपटने के लिए साइट के अपने अधिकृत टोकन और खाता नियंत्रण, या उसके सहायता चैनलों का उपयोग करें। सटीक मेनू पथ और उपलब्ध रिकवरी विकल्प यहाँ समीक्षित सामग्री द्वारा स्थापित नहीं हैं, इसलिए उन्हें अपने खाते में जाँचें, न कि किसी पुराने इंटरफ़ेस के याद किए गए क्रम का पालन करें। उजागर URL को सार्वजनिक इश्यू, मदद माँगने वाली सोशल पोस्ट या किसी तृतीय-पक्ष साइट में पेस्ट न करें; लिंक को दोहराए बिना समस्या का वर्णन करें।

अधिकृत मार्ग से कार्रवाई करने के बाद, उन जगहों को फिर से जाँचें जहाँ आपने प्रकाशित किया था: प्रत्येक साइट पर बायो फ़ील्ड, सिग्नेचर, पोर्टफ़ोलियो पेज, पिन किए गए पोस्ट और आपके द्वारा साझा किया गया कोई भी दस्तावेज़। प्रत्येक उपस्थिति को प्रोफ़ाइल URL से बदलें, और नोट करें कि कौन-सी जगहें आप संपादित नहीं कर सके।

यूज़रनेम लुकअप कहाँ फिट बैठता है, और कहाँ रुकता है

अगर आपकी चिंता यह है कि कोई हैंडल कितने व्यापक रूप से साइटों पर पुनः उपयोग होता है, तो यूज़रनेम लुकअप समीक्षा के लिए सार्वजनिक मिलान सामने ला सकता है। TraceSeek 3,000+ प्लेटफ़ॉर्म कवर करता है और एक निःशुल्क पहला स्कैन प्रदान करता है जो उत्पाद के अनुसार 20-30 सेकंड लेता है। यह लीड-जनरेशन चरण है, स्वामित्व का प्रमाण नहीं: किसी अन्य साइट पर मिलता हुआ हैंडल किसी और का हो सकता है, और खोज हर खाते की पूरी सूची नहीं है।

लुकअप जो नहीं कर सकता वह यह बताना है कि आपके द्वारा कॉपी किए गए किसी विशिष्ट URL में क्रेडेंशियल है या नहीं। वह निर्णय चरण 1 की जाँच से आता है। दोनों कार्यों को अलग रखें: लुकअप का उपयोग उन सार्वजनिक प्रोफ़ाइलों को खोजने के लिए करें जिनकी समीक्षा करना उचित है, और लिंक-प्रकार जाँच का उपयोग यह तय करने के लिए करें कि क्या प्रकाशित करना सुरक्षित है।

पेस्ट करने से पहले त्वरित चेकलिस्ट

• मैंने URL अपने प्रोफ़ाइल पेज से कॉपी किया, फ़ीड, सेटिंग्स या टोकन पेज से नहीं।
• पूरी स्ट्रिंग में कोई लंबा क्रेडेंशियल जैसा खंड नहीं है।
• लिंक बिना सत्र के निजी विंडो में अपेक्षा के अनुसार खुलता है।
• मैंने इसे बायो फ़ील्ड से पहले सादे टेक्स्ट एडिटर में पेस्ट किया।
• मैंने बायो का पूर्वावलोकन लॉग-आउट आगंतुक के रूप में किया।
• मैंने तय कर लिया है कि क्या एक्टिविटी फ़ीड को समग्र रूप से उजागर करना स्वीकार्य है।
• अगर मैंने पहले ही फ़ीड लिंक साझा किया है, तो मैंने अधिकृत खाता नियंत्रण या सहायता का उपयोग किया और लिंक को दोबारा पोस्ट नहीं किया।
• मैंने हर उस जगह को फिर से जाँचा जहाँ पुराना लिंक दिखाई दिया था।

अगर कोई भी बॉक्स अनचेक है, तो सुरक्षित डिफ़ॉल्ट यह है कि कुछ भी प्रकाशित न करें और नई प्रति के लिए प्रोफ़ाइल पेज पर लौटें।