Cosa stai effettivamente eliminando
Un token di accesso personale (PAT) è una credenziale tra le diverse che possono agire sul tuo account GitHub. Prima di eliminare qualsiasi cosa, è utile sapere che tipo di credenziale stai guardando, perché i passaggi di rimozione e gli effetti collaterali differiscono.
| Credenziale | Cosa fa tipicamente | Dove è gestita | Cosa influisce l’eliminazione |
|---|---|---|---|
| Token di accesso personale (con granularità fine o classico) | Consente a script, strumenti o CI di agire per tuo conto con autorizzazioni limitate | Impostazioni → Impostazioni sviluppatore → Token di accesso personale | Qualsiasi cosa che utilizzi ancora quel token, più eventuali chiavi di deploy create dal token |
| Autorizzazione OAuth | Un’app di terze parti che hai approvato per agire sul tuo account | Impostazioni → Applicazioni (app OAuth autorizzate) | L’accesso di quell’app; l’app stessa non viene eliminata |
| Chiave SSH dell’account | Autentica le operazioni Git su SSH per il tuo account | Impostazioni → Chiavi SSH e GPG | L’accesso SSH che si basa su quella chiave |
| Sessione del browser | Una sessione attiva con accesso effettuato in un browser | Controlli di disconnessione e impostazioni della sessione | Solo quella sessione; non è un token o una chiave |
Questo articolo riguarda la prima riga. Le altre righe sono elencate per non confonderle: rimuovere un’autorizzazione OAuth o una chiave SSH non elimina un token di accesso personale, e eliminare un token non revoca le chiavi SSH né termina le sessioni del browser.
Passaggio 1: crea un inventario dei token senza esporre i valori
L’obiettivo è un elenco di nomi dei token e di dove ciascuno è utilizzato — non un elenco di stringhe di token. Tratta il valore del token come un segreto che non copi mai in note, ticket o chat.
- Apri le impostazioni del tuo account GitHub e vai su Impostazioni sviluppatore, quindi Token di accesso personale. Controlla sia Token con granularità fine che Token classici, poiché i due tipi sono elencati separatamente.
- Per ogni token, registra solo: il nome del token, il suo tipo (con granularità fine o classico) e qualsiasi nota che GitHub mostra sul suo scopo o sulla scadenza.
- Per ogni token, annota dove ritieni che sia utilizzato: un job CI, uno script di deploy, uno strumento locale, un’attività pianificata, un’integrazione di terze parti o nessun luogo che ricordi.
- Contrassegna i token che non riesci a collocare. Un token non collocato è un candidato alla revisione, non all’eliminazione automatica — qualcosa potrebbe ancora dipenderne.
Una semplice tabella di lavoro è sufficiente:
| Nome token | Tipo | Consumatore noto | Ultimo utilizzo noto | Decisione |
|---|---|---|---|---|
| example-deploy | Con granularità fine | Job di deploy CI | Sconosciuto | Controlla il job prima di eliminare |
| example-old-script | Classico | Nessuno trovato | Vecchio | Verifica, poi elimina |
Non incollare i valori dei token in questa tabella. Se un consumatore memorizza il token, controlla la configurazione di quel sistema invece di rileggere il segreto.
Passaggio 2: controlla l’automazione dipendente prima della rimozione
Eliminare un token interrompe tutto ciò che ancora si autentica con esso. Prima di eliminare, conferma ogni consumatore noto:
- Cerca nella configurazione CI, negli script di deploy e nei job pianificati riferimenti al nome del token o alla voce dell’archivio segreto che lo contiene.
- Controlla se le autorizzazioni del token corrispondono a ciò di cui ha bisogno il consumatore. Un token che sembra inutilizzato potrebbe essere l’unica credenziale funzionante per un piccolo job.
- Decidi per ogni token: mantieni, sostituisci con una credenziale più ristretta o elimina. Se non riesci a confermare un consumatore, metti in pausa invece di indovinare.
GitHub documenta una dipendenza specifica che vale la pena controllare per prima: un token di accesso personale che ha creato una chiave di deploy è collegato a quella chiave di deploy.
GitHub avverte che eliminare un token di accesso personale che ha creato una chiave di deploy elimina anche quella chiave di deploy. Fonte
Questo avviso è limitato. Si applica alle chiavi di deploy create da quel token. Non è un’affermazione che eliminare qualsiasi token influenzi ogni chiave SSH, ogni chiave di deploy o ogni integrazione sull’account. Controlla la cronologia del token specifico e le chiavi di deploy del repository invece di presumere un effetto ampio.
Passaggio 3: elimina il token
Quando hai confermato che un token è sicuro da rimuovere, il percorso documentato da GitHub è:
Il percorso di eliminazione del token di accesso personale di GitHub è Impostazioni, Impostazioni sviluppatore, Token di accesso personale, quindi Token con granularità fine o Token classici ed Elimina. Fonte
Dopo l’eliminazione, verifica il risultato invece di presumere che abbia funzionato:
- Conferma che il token non appaia più nell’elenco per il suo tipo.
- Esegui o attiva l’automazione che hai identificato come consumatore e controlla se si autentica ancora. Se fallisce, hai trovato una dipendenza che avevi perso; ripristina l’accesso con una nuova credenziale che controlli invece di riutilizzare il vecchio valore.
- Se il token eliminato aveva creato una chiave di deploy, controlla le chiavi di deploy del repository per confermare che la rimozione documentata sia avvenuta e che nessun’altra chiave sia stata influenzata.
Percorsi di errore da pianificare
| Situazione | Cosa fare |
|---|---|
| Un job CI fallisce dopo l’eliminazione | Identifica quale segreto ha utilizzato, conferma il proprietario del job e emetti una credenziale sostitutiva tramite il tuo processo normale |
| Non riesci a trovare il consumatore di un token | Non eliminare basandoti su un’ipotesi; cerca prima nei file di configurazione e negli archivi segreti, e mantieni il token finché non puoi confermare |
| Una chiave di deploy è scomparsa | Questa è la conseguenza documentata quando il token l’ha creata; ricrea la chiave deliberatamente se il repository ne ha ancora bisogno |
| Non sei sicuro se la credenziale è un token o un’app OAuth | Controlla la sezione delle impostazioni in cui appare; i due sono gestiti separatamente |
Cosa non copre questa checklist
Questa guida non descrive la rotazione delle credenziali, l’emissione di nuovi token o la modifica delle autorizzazioni — questi passaggi dipendono dalla tua configurazione e dall’interfaccia corrente di GitHub, che dovresti confermare al momento in cui agisci. Non copre inoltre la rimozione di autorizzazioni OAuth, chiavi SSH dell’account o sessioni del browser, se non notando che sono separate. Eliminare un token rimuove quella credenziale; non prova di per sé che qualsiasi dato detenuto da un servizio connesso sia stato cancellato.
Dove si inserisce una ricerca di nome utente e dove no
Se la tua pulizia fa parte di una revisione più ampia di ciò che è pubblicamente visibile con un nome utente, TraceSeek è un’app separata che controlla nomi utente pubblici noti su oltre 3.000 piattaforme. Riporta corrispondenze pubbliche, che sono indizi e non prova di proprietà, e non può accedere agli account, modificare le impostazioni dell’account, eliminare token o verificare l’identità reale di qualcuno. Non è uno strumento per l’accesso ad account privati o per la rimozione garantita di qualsiasi cosa. Per l’attività sui token in questo articolo, il lavoro avviene nelle tue impostazioni GitHub, non in un’app di ricerca.