Apa yang sebenarnya Anda hapus
Personal access token (PAT) adalah salah satu dari beberapa kredensial yang dapat bertindak atas akun GitHub Anda. Sebelum menghapus apa pun, penting untuk mengetahui jenis kredensial yang Anda hadapi, karena langkah penghapusan dan efek sampingnya berbeda.
| Kredensial | Fungsi umum | Tempat pengelolaan | Dampak penghapusan |
|---|---|---|---|
| Personal access token (fine-grained atau classic) | Memungkinkan skrip, alat, atau CI bertindak atas nama Anda dengan izin terbatas | Settings → Developer settings → Personal access tokens | Apa pun yang masih menggunakan token tersebut, plus deploy key yang dibuat token itu |
| Otorisasi OAuth | Aplikasi pihak ketiga yang Anda setujui untuk bertindak atas akun Anda | Settings → Applications (aplikasi OAuth yang diotorisasi) | Akses aplikasi tersebut; aplikasinya sendiri tidak dihapus |
| Kunci akun SSH | Mengautentikasi operasi Git melalui SSH untuk akun Anda | Settings → SSH and GPG keys | Akses SSH yang bergantung pada kunci tersebut |
| Sesi browser | Sesi aktif yang sudah masuk di browser | Kontrol keluar dan pengaturan sesi | Hanya sesi tersebut; bukan token atau kunci |
Artikel ini membahas baris pertama. Baris lainnya dicantumkan agar Anda tidak salah mengira: menghapus otorisasi OAuth atau kunci SSH tidak menghapus personal access token, dan menghapus token tidak mencabut kunci SSH atau mengakhiri sesi browser.
Langkah 1: Buat inventaris token tanpa mengungkap nilainya
Tujuannya adalah daftar nama token dan di mana masing-masing digunakan — bukan daftar string token. Perlakukan nilai token sebagai rahasia yang tidak boleh Anda salin ke catatan, tiket, atau obrolan.
- Buka pengaturan akun GitHub Anda dan masuk ke Developer settings, lalu Personal access tokens. Periksa Fine-grained tokens dan Tokens classic, karena kedua jenis tercantum terpisah.
- Untuk setiap token, catat hanya: nama token, jenisnya (fine-grained atau classic), dan catatan apa pun yang ditampilkan GitHub tentang tujuan atau masa berlakunya.
- Untuk setiap token, tuliskan di mana Anda yakin token itu digunakan: pekerjaan CI, skrip deployment, alat lokal, tugas terjadwal, integrasi pihak ketiga, atau tidak di mana pun yang Anda ingat.
- Tandai token yang tidak dapat Anda tempatkan. Token yang tidak ditempatkan adalah kandidat untuk ditinjau, bukan langsung dihapus — mungkin masih ada yang bergantung padanya.
Tabel kerja sederhana sudah cukup:
| Nama token | Jenis | Konsumen yang diketahui | Penggunaan terakhir yang diketahui | Keputusan |
|---|---|---|---|---|
| example-deploy | Fine-grained | Pekerjaan deploy CI | Tidak diketahui | Periksa pekerjaan sebelum menghapus |
| example-old-script | Classic | Tidak ditemukan | Lama | Verifikasi, lalu hapus |
Jangan menempelkan nilai token ke tabel ini. Jika konsumen menyimpan token, periksa konfigurasi sistem itu sendiri daripada membaca ulang rahasianya.
Langkah 2: Periksa otomatisasi yang bergantung sebelum penghapusan
Menghapus token akan memutus apa pun yang masih mengautentikasi dengannya. Sebelum menghapus, konfirmasi setiap konsumen yang diketahui:
- Cari di konfigurasi CI, skrip deployment, dan tugas terjadwal Anda untuk referensi ke nama token atau entri penyimpanan rahasia yang menyimpannya.
- Periksa apakah izin token sesuai dengan kebutuhan konsumen. Token yang tampak tidak digunakan mungkin satu-satunya kredensial yang berfungsi untuk pekerjaan kecil.
- Putuskan per token: pertahankan, ganti dengan kredensial yang lebih sempit, atau hapus. Jika Anda tidak dapat mengonfirmasi konsumen, tunda daripada menebak.
GitHub mendokumentasikan satu dependensi spesifik yang perlu diperiksa terlebih dahulu: personal access token yang membuat deploy key terhubung ke deploy key tersebut.
GitHub memperingatkan bahwa menghapus personal access token yang membuat deploy key juga akan menghapus deploy key tersebut. Sumber
Peringatan itu sempit. Ini berlaku untuk deploy key yang dibuat oleh token tersebut. Ini bukan pernyataan bahwa menghapus token apa pun memengaruhi setiap kunci SSH, setiap deploy key, atau setiap integrasi di akun. Periksa riwayat token spesifik dan deploy key repositori daripada mengasumsikan efek yang luas.
Langkah 3: Hapus token
Setelah Anda mengonfirmasi token aman untuk dihapus, jalur terdokumentasi GitHub adalah:
Jalur penghapusan personal access token GitHub adalah Settings, Developer settings, Personal access tokens, lalu Fine-grained tokens atau Tokens classic dan Delete. Sumber
Setelah penghapusan, verifikasi hasilnya daripada menganggapnya berhasil:
- Konfirmasi token tidak lagi muncul dalam daftar untuk jenisnya.
- Jalankan atau picu otomatisasi yang Anda identifikasi sebagai konsumen dan periksa apakah masih mengautentikasi. Jika gagal, Anda telah menemukan dependensi yang terlewat; pulihkan akses dengan kredensial baru yang Anda kendalikan daripada menggunakan kembali nilai lama.
- Jika token yang dihapus telah membuat deploy key, periksa deploy key repositori untuk mengonfirmasi penghapusan yang terdokumentasi terjadi dan tidak ada kunci lain yang terpengaruh.
Jalur kegagalan yang perlu diantisipasi
| Situasi | Yang harus dilakukan |
|---|---|
| Pekerjaan CI gagal setelah penghapusan | Identifikasi rahasia mana yang digunakan, konfirmasi pemilik pekerjaan, dan terbitkan kredensial pengganti melalui proses normal Anda |
| Anda tidak dapat menemukan konsumen token | Jangan menghapus berdasarkan tebakan; cari di file konfigurasi dan penyimpanan rahasia terlebih dahulu, dan pertahankan token sampai Anda dapat mengonfirmasi |
| Deploy key hilang | Ini adalah konsekuensi terdokumentasi ketika token membuatnya; buat ulang kunci dengan sengaja jika repositori masih membutuhkannya |
| Anda tidak yakin apakah kredensial itu token atau aplikasi OAuth | Periksa bagian pengaturan tempat kredensial itu muncul; keduanya dikelola secara terpisah |
Apa yang tidak dicakup checklist ini
Panduan ini tidak menjelaskan rotasi kredensial, penerbitan token baru, atau perubahan izin — langkah-langkah itu bergantung pada pengaturan Anda sendiri dan antarmuka GitHub saat ini, yang harus Anda konfirmasi pada saat Anda bertindak. Ini juga tidak mencakup penghapusan otorisasi OAuth, kunci akun SSH, atau sesi browser selain mencatat bahwa semuanya terpisah. Menghapus token menghilangkan kredensial itu; ini tidak dengan sendirinya membuktikan bahwa data apa pun yang dipegang oleh layanan terhubung telah dihapus.
Di mana pencarian nama pengguna cocok, dan di mana tidak
Jika pembersihan Anda adalah bagian dari tinjauan yang lebih luas tentang apa yang terlihat publik di bawah nama pengguna, TraceSeek adalah aplikasi terpisah yang memeriksa nama pengguna publik yang diketahui di 3.000+ platform. Aplikasi ini melaporkan kecocokan publik, yang merupakan petunjuk bukan bukti kepemilikan, dan tidak dapat masuk ke akun, mengubah pengaturan akun, menghapus token, atau memverifikasi identitas asli siapa pun. Ini bukan alat untuk akses akun pribadi atau penghapusan apa pun yang dijamin. Untuk tugas token dalam artikel ini, pekerjaan dilakukan di pengaturan GitHub Anda, bukan di aplikasi pencarian.