Kesalahan terjadi saat menyalin
Sebagian besar kebocoran seperti ini bukan serangan. Ini kesalahan salin-tempel yang dilakukan beberapa menit sebelum menerbitkan bio, halaman portofolio, atau tanda tangan forum. Bilah alamat browser bisa menampilkan alamat feed saat halaman yang Anda lihat terasa seperti “aktivitas saya”, sehingga URL yang tersalin justru yang mengautentikasi permintaan, bukan yang sekadar menyebut profil Anda.
URL feed aktivitas pribadi GitLab berisi token yang mengautentikasi permintaan feed. Sumber
Itulah alasan pemeriksaan ini penting: token bukan rahasia terpisah yang bisa Anda cabut belakangan secara terpisah. Token tertanam di dalam tautan, dan tautan itulah yang akan Anda terbitkan.
URL profil publik dan URL feed aktivitas terautentikasi punya tujuan berbeda. Sumber
Anggap kalimat itu sebagai aturan keputusan untuk sisa panduan ini. Jika URL yang Anda pegang bisa dipakai mengambil konten feed privat, itu bukan tautan profil, sekilas apa pun tampilannya.
Langkah 1: Kenali jenis tautan yang Anda pegang
Anda tidak perlu memahami format token untuk mengambil keputusan. Anda perlu tahu halaman mana yang menghasilkan URL tersebut. Gunakan tabel di bawah sebagai daftar periksa sebelum apa pun ditempel secara publik.
| Yang Anda salin | Tanda umum | Aman untuk publik? | Yang harus dilakukan |
|---|---|---|---|
| URL halaman profil | Terbuka sebagai profil Anda saat logout | Ya, jika profilnya memang publik | Pakai yang ini |
| URL feed aktivitas | Berisi segmen token panjang dan mengembalikan data feed | Tidak | Buang; jangan tempel, pendekkan, atau tangkap layarnya |
| Tautan dari halaman pengaturan atau token | Anda berada di area terautentikasi saat menyalin | Anggap privat | Ganti dengan URL profil |
| Tautan yang dikirim orang lain | Asal tidak diketahui | Belum terverifikasi | Buka saat logout sebelum memercayainya |
Ada dua batasan yang perlu dinyatakan terang. Pertama, tabel ini adalah rutinitas pemeriksaan editorial, bukan fitur platform; GitLab tidak memberi label pada tautan untuk Anda. Kedua, URL yang terbuka baik di browser Anda yang sedang login tidak membuktikan apa pun, karena sesi Anda mungkin memberi akses yang tidak dimiliki orang lain.
Uji praktis yang tidak mengekspos apa pun: buka tautan kandidat di jendela privat tempat Anda tidak login. Jika ia meminta autentikasi, atau mengembalikan konten feed yang tidak ingin Anda baca orang lain, berhenti dan kembali ke halaman profil untuk menyalin alamat lagi. Jangan tempel URL yang gagal itu ke obrolan, tiket, atau unggahan publik untuk “memeriksanya”.
Langkah 2: Ganti dengan URL profil publik
Setelah Anda memutuskan sebuah tautan salah jenis, menggantinya adalah tindakan aman. Urutan berikut menjauhkan URL privat dari setiap tempat perantara yang bisa menyimpannya.
- Tutup tab yang menampilkan feed atau alamat bertoken tanpa menyalinnya lagi.
- Buka profil Anda dengan cara biasa, lewat antarmuka situs, bukan lewat markah tersimpan ke feed.
- Pastikan profil itu yang ingin Anda terbitkan, dan visibilitasnya sesuai harapan Anda.
- Salin alamat hanya dari halaman profil.
- Tempel dulu ke editor teks biasa, jangan langsung ke kolom bio, agar Anda bisa melihat seluruh string sebelum dibawa ke mana pun.
- Periksa string yang ditempel terhadap tabel di atas. Jika ada bagian yang tampak seperti kredensial panjang alih-alih nama atau path, buang dan ulangi dari langkah 2.
- Tempel URL profil yang sudah terverifikasi ke bio, lalu pratinjau bio seperti yang dilihat pengunjung yang logout.
Langkah 5 bukan formalitas. Kolom bio, editor teks kaya, dan pratinjau tautan dapat menyimpan atau mengambil apa yang Anda tempel, dan pengambilan pratinjau atas URL bertoken adalah satu lagi tempat tautan itu telah singgah.
Langkah 3: Putuskan apakah feed itu sendiri sebaiknya terlihat
Tautan profil dan tautan feed adalah dua pertanyaan terpisah. Anda mungkin punya URL profil yang sepenuhnya aman tetapi tetap tidak nyaman dengan seberapa banyak aktivitas Anda terungkap. Itu keputusan visibilitas, bukan keputusan format tautan, dan sebaiknya diambil sebelum Anda menerbitkan apa pun yang mengarahkan orang ke profil Anda.
Feed pribadi mencakup aktivitas dari proyek keanggotaan terlepas dari tab aktivitas atau filter yang dipilih. Sumber
Itu penting untuk penilaian: jika Anda mengandalkan tab atau filter untuk menyembunyikan aktivitas tertentu, perilaku feed di atas berarti filter bukan batas privasi. Putuskan apakah feed secara keseluruhan dapat diterima, alih-alih menganggap tampilan yang lebih sempit melindungi Anda.
Jika Anda menyimpulkan itu tidak dapat diterima, langkah berikutnya adalah meninjau apa yang tetap terlihat publik setelah Anda menyesuaikan visibilitas profil, bukan sekadar mengubah satu pengaturan lalu beranjak. Tindak lanjut yang relevan adalah panduan tentang membuat profil GitLab Anda privat dan memeriksa apa yang tetap publik, yang membahas sisi visibilitas dari keputusan ini.
Jika tautan sudah terlanjur dibagikan
Bertindaklah dengan asumsi bahwa apa pun yang diterbitkan publik mungkin telah disalin, di-cache, atau diindeks, meskipun Anda menghapusnya semenit kemudian. Menghapus unggahan tidak menarik kembali salinan yang sudah dibuat orang lain atau sistem otomatis, dan panduan ini tidak akan berpura-pura sebaliknya.
Gunakan kontrol token dan akun resmi situs, atau saluran dukungannya, untuk menangani kredensial yang telah terekspos. Jalur menu persis dan opsi pemulihan yang tersedia tidak ditetapkan oleh materi yang ditinjau di sini, jadi periksa di akun Anda alih-alih mengikuti urutan yang diingat dari antarmuka lama. Jangan tempel URL yang terekspos ke issue publik, unggahan media sosial yang meminta bantuan, atau situs pihak ketiga; jelaskan masalahnya tanpa mereproduksi tautannya.
Setelah Anda bertindak lewat jalur resmi, periksa ulang tempat-tempat Anda menerbitkannya: kolom bio di setiap situs, tanda tangan, halaman portofolio, unggahan yang disematkan, dan dokumen apa pun yang Anda bagikan. Ganti setiap kemunculan dengan URL profil, dan catat tempat mana yang tidak bisa Anda ubah.
Di mana pencarian nama pengguna berguna, dan di mana batasnya
Jika kekhawatiran Anda adalah seberapa luas sebuah handle dipakai ulang di berbagai situs, pencarian nama pengguna dapat memunculkan kecocokan publik untuk ditinjau. TraceSeek mencakup 3.000+ platform dan menawarkan pemindaian pertama gratis yang menurut produk memakan waktu 20–30 detik. Itu langkah awal untuk menemukan petunjuk, bukan bukti kepemilikan: handle yang cocok di situs lain bisa milik orang lain, dan pencarian bukan inventaris lengkap setiap akun.
Yang tidak bisa dilakukan pencarian adalah memberi tahu apakah URL tertentu yang Anda salin berisi kredensial. Penilaian itu datang dari pemeriksaan di Langkah 1. Pisahkan kedua tugas: gunakan pencarian untuk menemukan profil publik yang layak ditinjau, dan gunakan pemeriksaan jenis tautan untuk memutuskan apa yang aman diterbitkan.
Daftar periksa singkat sebelum menempel
- Saya menyalin URL dari halaman profil saya, bukan dari feed, pengaturan, atau halaman token.
- String lengkapnya tidak mengandung segmen panjang mirip kredensial.
- Tautan terbuka sesuai harapan di jendela privat tanpa sesi.
- Saya menempelkannya ke editor teks biasa sebelum kolom bio.
- Saya mempratinjau bio sebagai pengunjung yang logout.
- Saya sudah memutuskan apakah feed aktivitas secara keseluruhan dapat diterima untuk diekspos.
- Jika saya sudah membagikan tautan feed, saya memakai kontrol akun resmi atau dukungan dan tidak memposting ulang tautannya.
- Saya memeriksa ulang setiap tempat tautan lama muncul.
Jika ada kotak yang belum dicentang, default amannya adalah tidak menerbitkan apa pun dan kembali ke halaman profil untuk menyalin ulang.