Wat je eigenlijk verwijdert
Een persoonlijk toegangstoken (PAT) is één van meerdere inloggegevens die namens jou op je GitHub-account kunnen handelen. Voordat je iets verwijdert, is het handig om te weten om welk type inloggegeven het gaat, omdat de verwijderstappen en de bijwerkingen verschillen.
| Inloggegeven | Wat het meestal doet | Waar het wordt beheerd | Wat verwijderen ervan beïnvloedt |
|---|---|---|---|
| Persoonlijk toegangstoken (fijnmazig of klassiek) | Laat scripts, tools of CI namens jou handelen met beperkte rechten | Instellingen → Ontwikkelaarsinstellingen → Persoonlijke toegangstokens | Alles wat dat token nog gebruikt, plus elke deploy key die het token heeft aangemaakt |
| OAuth-autorisatie | Een app van derden die je hebt goedgekeurd om namens jou te handelen | Instellingen → Applicaties (geautoriseerde OAuth-apps) | De toegang van die app; de app zelf wordt niet verwijderd |
| SSH-accountsleutel | Authenticeert Git-bewerkingen via SSH voor je account | Instellingen → SSH- en GPG-sleutels | SSH-toegang die op die sleutel vertrouwt |
| Browsersessie | Een actieve ingelogde sessie in een browser | Uitlogopties en sessie-instellingen | Alleen die sessie; het is geen token of sleutel |
Dit artikel behandelt de eerste rij. De andere rijen staan er zodat je ze niet met elkaar verwart: het verwijderen van een OAuth-autorisatie of een SSH-sleutel verwijdert geen persoonlijk toegangstoken, en het verwijderen van een token trekt SSH-sleutels niet in en beëindigt geen browsersessies.
Stap 1: Maak een tokeninventaris zonder waarden bloot te leggen
Het doel is een lijst met tokennamen en waar elk token wordt gebruikt — niet een lijst met tokenstrings. Behandel de tokenwaarde als een geheim dat je nooit in notities, tickets of chat kopieert.
- Open je GitHub-accountinstellingen en ga naar Ontwikkelaarsinstellingen, dan Persoonlijke toegangstokens. Controleer zowel Fijne tokens als Klassieke tokens, omdat de twee typen apart worden vermeld.
- Noteer voor elk token alleen: de tokennaam, het type (fijnmazig of klassiek) en eventuele notitie die GitHub toont over het doel of de vervaldatum.
- Schrijf voor elk token op waar je denkt dat het wordt gebruikt: een CI-taak, een deploymentscript, een lokale tool, een geplande taak, een integratie van derden, of nergens dat je je kunt herinneren.
- Markeer tokens die je niet kunt plaatsen. Een niet-geplaatst token is een kandidaat voor herziening, niet voor automatische verwijdering — iets kan er nog van afhankelijk zijn.
Een eenvoudige werktabel is voldoende:
| Tokennaam | Type | Bekende gebruiker | Laatst bekende gebruik | Beslissing |
|---|---|---|---|---|
| example-deploy | Fijnmazig | CI-deploymenttaak | Onbekend | Taak controleren vóór verwijderen |
| example-old-script | Klassiek | Geen gevonden | Oud | Verifiëren en dan verwijderen |
Plak geen tokenwaarden in deze tabel. Als een gebruiker het token opslaat, controleer dan de configuratie van dat systeem zelf in plaats van het geheim opnieuw te lezen.
Stap 2: Controleer afhankelijke automatisering vóór verwijdering
Het verwijderen van een token breekt alles wat er nog mee authenticeert. Bevestig voordat je verwijdert elke bekende gebruiker:
- Doorzoek je CI-configuratie, deploymentscripts en geplande taken op verwijzingen naar de tokennaam of de vermelding in de geheimenopslag die het token bevat.
- Controleer of de rechten van het token overeenkomen met wat de gebruiker nodig heeft. Een token dat ongebruikt lijkt, kan het enige werkende inloggegeven voor een kleine taak zijn.
- Beslis per token: behouden, vervangen door een beperkter inloggegeven, of verwijderen. Als je een gebruiker niet kunt bevestigen, pauzeer dan in plaats van te gokken.
GitHub documenteert één specifieke afhankelijkheid die je eerst moet controleren: een persoonlijk toegangstoken dat een deploy key heeft aangemaakt, is gekoppeld aan die deploy key.
GitHub waarschuwt dat het verwijderen van een persoonlijk toegangstoken dat een deploy key heeft aangemaakt, ook die deploy key verwijdert. Bron
Die waarschuwing is smal. Ze geldt voor deploy keys die door dat token zijn aangemaakt. Het is geen uitspraak dat het verwijderen van welk token dan ook elke SSH-sleutel, elke deploy key of elke integratie op het account beïnvloedt. Controleer de geschiedenis van het specifieke token en de deploy keys van de repository in plaats van een breed effect aan te nemen.
Stap 3: Verwijder het token
Wanneer je hebt bevestigd dat een token veilig kan worden verwijderd, is de gedocumenteerde route van GitHub:
De verwijderingsroute voor persoonlijke toegangstokens van GitHub is Instellingen, Ontwikkelaarsinstellingen, Persoonlijke toegangstokens, en dan Fijne tokens of Klassieke tokens en Verwijderen. Bron
Controleer na verwijdering het resultaat in plaats van aan te nemen dat het is gelukt:
- Bevestig dat het token niet meer in de lijst voor zijn type voorkomt.
- Voer de automatisering uit of activeer deze die je als gebruiker had geïdentificeerd en controleer of deze nog authenticeert. Als het mislukt, heb je een gemiste afhankelijkheid gevonden; herstel de toegang met een nieuw inloggegeven dat je beheert in plaats van de oude waarde te hergebruiken.
- Als het verwijderde token een deploy key had aangemaakt, controleer dan de deploy keys van de repository om te bevestigen dat de gedocumenteerde verwijdering heeft plaatsgevonden en dat geen andere sleutel is beïnvloed.
Faalroutes om op te plannen
| Situatie | Wat te doen |
|---|---|
| Een CI-taak mislukt na verwijdering | Identificeer welk geheim het gebruikte, bevestig de eigenaar van de taak en geef een vervangend inloggegeven uit via je normale proces |
| Je kunt de gebruiker van een token niet vinden | Verwijder niet op basis van een gok; doorzoek eerst configuratiebestanden en geheimenopslag, en behoud het token tot je het kunt bevestigen |
| Een deploy key is verdwenen | Dit is de gedocumenteerde consequentie wanneer het token deze heeft aangemaakt; maak de sleutel bewust opnieuw aan als de repository deze nog nodig heeft |
| Je weet niet zeker of het inloggegeven een token of een OAuth-app is | Controleer onder welk instellingenonderdeel het verschijnt; de twee worden apart beheerd |
Wat deze checklist niet dekt
Deze handleiding beschrijft niet het roteren van inloggegevens, het uitgeven van nieuwe tokens of het wijzigen van rechten — die stappen hangen af van je eigen opzet en de huidige interface van GitHub, die je op het moment van handelen moet bevestigen. Ze behandelt ook niet het verwijderen van OAuth-autorisaties, SSH-accountsleutels of browsersessies, behalve door op te merken dat ze apart staan. Het verwijderen van een token verwijdert dat inloggegeven; het bewijst op zichzelf niet dat gegevens die een verbonden dienst bewaart, zijn gewist.
Waar een gebruikersnaamopzoeking past, en waar niet
Als je opruiming deel uitmaakt van een bredere beoordeling van wat publiek zichtbaar is onder een gebruikersnaam, is TraceSeek een aparte app die bekende publieke gebruikersnamen controleert op 3.000+ platforms. Het rapporteert publieke overeenkomsten, die aanwijzingen zijn en geen bewijs van eigendom, en het kan niet inloggen op accounts, accountinstellingen wijzigen, tokens verwijderen of iemands echte identiteit verifiëren. Het is geen tool voor toegang tot privéaccounts of gegarandeerde verwijdering van wat dan ook. Voor de tokentaak in dit artikel gebeurt het werk in je GitHub-instellingen, niet in een opzoekapp.