De fout gebeurt bij het kopiëren
De meeste lekken van dit type zijn geen aanvallen. Het zijn kopieerfouten die enkele minuten voor het publiceren van een bio, een portfoliopagina of een forumpost worden gemaakt. In de adresbalk van de browser kan een feedadres staan, terwijl de pagina die je ziet aanvoelt als ‘mijn activiteit’. Zo kopieer je de URL die een verzoek authenticeert in plaats van de URL die simpelweg je profiel aanduidt.
De URL van GitLabs persoonlijke activiteitenfeed bevat een token dat het feedverzoek authenticeert. Bron
Dat is precies waarom deze controle belangrijk is: het token is geen apart geheim dat je later los kunt intrekken. Het zit in de link, en die link sta je op het punt te publiceren.
Een openbare profiel-URL en een geauthenticeerde activiteitenfeed-URL dienen verschillende doelen. Bron
Beschouw die zin als de beslisregel voor de rest van deze gids. Als de URL die je in handen hebt kan worden gebruikt om inhoud van een besloten feed op te halen, dan is het geen profiellink, hoe hij er ook uitziet.
Stap 1: Bepaal welk type link je hebt
Je hoeft het tokenformaat niet te begrijpen om de beslissing te nemen. Je moet weten welke pagina de URL heeft opgeleverd. Gebruik de onderstaande tabel als controlelijst voordat je iets openbaar plakt.
| Wat je hebt gekopieerd | Typisch teken | Veilig voor openbaar gebruik? | Wat je moet doen |
|---|---|---|---|
| URL van profielpagina | Opent je profiel als je uitgelogd bent | Ja, als het profiel zelf openbaar is | Gebruik deze |
| URL van activiteitenfeed | Bevat een lang tokensegment en levert feedgegevens op | Nee | Gooi hem weg; niet plakken, inkorten of screenshotten |
| Een link van een instellingen- of tokenpagina | Je was in een geauthenticeerde omgeving toen je kopieerde | Behandel als privé | Vervang door de profiel-URL |
| Een link die iemand anders je stuurde | Onbekende herkomst | Ongeverifieerd | Open hem uitgelogd voordat je hem vertrouwt |
Twee beperkingen moeten we duidelijk noemen. Ten eerste is deze tabel een redactionele controleroutine, geen platformfunctie; GitLab labelt links niet voor je. Ten tweede bewijst een URL die in je eigen ingelogde browser prima opent niets, want je sessie kan toegang geven die een buitenstaander niet heeft.
Een praktische test die niets blootlegt: open de kandidaatlink in een privévenster waarin je niet bent ingelogd. Als je moet inloggen, of als je feedinhoud ziet die je een buitenstaander niet gunt, stop dan en ga terug naar je profielpagina om het adres opnieuw te kopiëren. Plak de falende URL niet in een chat, een ticket of een openbare post om hem te ‘controleren’.
Stap 2: Vervang hem door de openbare profiel-URL
Zodra je hebt besloten dat een link van het verkeerde type is, is vervangen de veilige actie. De volgende volgorde houdt de privé-URL buiten elke tussenliggende plek waar hij zou kunnen worden opgeslagen.
- Sluit het tabblad met het feed- of tokenadres zonder het opnieuw te kopiëren.
- Ga op de gebruikelijke manier naar je profiel, via de site-interface en niet via een opgeslagen bladwijzer naar de feed.
- Controleer of dit het profiel is dat je wilt publiceren en of de zichtbaarheid is zoals je verwacht.
- Kopieer het adres alleen van de profielpagina.
- Plak het eerst in een eenvoudige teksteditor, niet direct in het bioveld, zodat je de volledige string kunt bekijken voordat hij ergens heen gaat.
- Vergelijk de geplakte string met de tabel hierboven. Als een deel op een lang inloggegeven lijkt in plaats van op een naam of pad, gooi het weg en herhaal vanaf stap 2.
- Plak de geverifieerde profiel-URL in de bio en bekijk een voorbeeld van de bio zoals een uitgelogde bezoeker die zou zien.
Stap 5 is geen formaliteit. Bioveldden, rich-text editors en linkvoorbeelden kunnen opslaan of ophalen wat je plakt, en een voorbeeldverzoek van een URL met token is weer een plek waar de link is geweest.
Stap 3: Bepaal of de feed zelf zichtbaar moet zijn
Een profiellink en een feedlink zijn twee aparte vragen. Je kunt een volkomen veilige profiel-URL hebben en je toch ongemakkelijk voelen bij hoeveel je activiteit prijsgeeft. Dat is een zichtbaarheidsbeslissing, geen beslissing over linkformaat, en die moet je nemen voordat je iets publiceert dat mensen naar je profiel verwijst.
De persoonlijke feed bevat activiteit uit lidmaatschapsprojecten, ongeacht het geselecteerde activiteitstabblad of filter. Bron
Dat is van belang voor de afweging: als je erop vertrouwt dat een tabblad of filter bepaalde activiteit buiten beeld houdt, betekent het hierboven beschreven feedgedrag dat het filter geen privacydrempel is. Beslis of de feed als geheel acceptabel is, in plaats van aan te nemen dat een beperktere weergave je beschermt.
Als je concludeert dat dit niet acceptabel is, is de volgende stap nagaan wat er openbaar zichtbaar blijft nadat je de zichtbaarheid van je profiel hebt aangepast, en niet alleen één instelling wijzigen en doorgaan. Een relevante vervolgstap is de gids over je GitLab-profiel privé maken en controleren wat openbaar blijft, die de zichtbaarheidskant van deze beslissing behandelt.
Als de link al is gedeeld
Ga ervan uit dat alles wat openbaar is gepubliceerd, kan zijn gekopieerd, gecachet of geïndexeerd, zelfs als je het een minuut later verwijdert. Een bericht verwijderen haalt geen kopieën terug die anderen of geautomatiseerde systemen al hebben gemaakt, en deze gids doet niet alsof dat anders is.
Gebruik de geautoriseerde token- en accountinstellingen van de site, of de supportkanalen, om een inloggegeven dat is blootgesteld aan te pakken. Het exacte menupad en de beschikbare herstelopties zijn niet vastgesteld in het hier beoordeelde materiaal, dus controleer ze in je account in plaats van een onthouden volgorde uit een oudere interface te volgen. Plak de blootgestelde URL niet in een openbare issue, een socialmediapost met een hulpvraag of een site van derden; beschrijf het probleem zonder de link te reproduceren.
Nadat je actie hebt ondernomen via de geautoriseerde route, controleer je opnieuw de plekken waar je hebt gepubliceerd: bioveldden op elke site, handtekeningen, portfoliopagina’s, vastgezette berichten en elk document dat je hebt gedeeld. Vervang elk exemplaar door de profiel-URL en noteer welke plekken je niet kon aanpassen.
Waar een gebruikersnaamzoekopdracht past, en waar die stopt
Als je je zorgen maakt over hoe vaak een gebruikersnaam op verschillende sites wordt hergebruikt, kan een gebruikersnaamzoekopdracht openbare overeenkomsten naar boven halen om te bekijken. TraceSeek dekt 3.000+ platforms en biedt een gratis eerste scan die volgens het product 20-30 seconden duurt. Dat is een stap om leads te vinden, geen bewijs van eigenaarschap: een overeenkomende gebruikersnaam op een andere site kan van iemand anders zijn, en een zoekopdracht is geen volledige inventaris van elk account.
Wat een zoekopdracht niet kan, is je vertellen of een specifieke URL die je hebt gekopieerd een inloggegeven bevat. Dat oordeel komt uit de inspectie in stap 1. Houd de twee taken gescheiden: gebruik de zoekopdracht om openbare profielen te vinden die het bekijken waard zijn, en gebruik de linktypecontrole om te beslissen wat veilig is om te publiceren.
Snelle checklist voordat je plakt
- Ik heb de URL van mijn profielpagina gekopieerd, niet van een feed-, instellingen- of tokenpagina.
- De volledige string bevat geen lang segment dat op een inloggegeven lijkt.
- De link opent zoals verwacht in een privévenster zonder sessie.
- Ik heb hem eerst in een eenvoudige teksteditor geplakt voordat hij in het bioveld ging.
- Ik heb een voorbeeld van de bio bekeken zoals een uitgelogde bezoeker die ziet.
- Ik heb besloten of de activiteitenfeed als geheel acceptabel is om te tonen.
- Als ik al een feedlink heb gedeeld, heb ik geautoriseerde accountinstellingen of support gebruikt en de link niet opnieuw geplaatst.
- Ik heb elke plek waar de oude link stond opnieuw gecontroleerd.
Als er een vakje niet is aangevinkt, is de veilige standaard om niets te publiceren en terug te gaan naar de profielpagina voor een nieuwe kopie.