Onde fica a lista de autorizações
O GitLab mantém os apps que você autorizou em uma única lista no nível da conta. Abra as configurações do seu perfil, depois Editar perfil, depois Acesso, depois Aplicações. Essa página é o seu inventário OAuth (OAuth): ela mostra os aplicativos de terceiros que podem agir em seu nome e os escopos (scopes) que cada um possui.
O GitLab lista os aplicativos autorizados em Editar perfil, Acesso, Aplicações. Fonte
Isso não é o mesmo que tokens de acesso de projeto ou chaves de implantação. Esses são credenciais vinculadas a um repositório ou projeto; aplicativos autorizados estão vinculados à sua conta de usuário e podem alcançar além dela. Audite-os separadamente para que uma lista OAuth limpa não lhe dê falsa tranquilidade sobre as credenciais do projeto.
O que os escopos revelam
Os escopos descrevem até onde um app pode chegar. Eles não são todos equivalentes, e você não deve presumir que todo app é somente leitura. Um app que só lê seu perfil representa um risco diferente de um que detém acesso amplo à API (API) e pode escrever ou agir em toda a sua conta.
Aplicativos autorizados podem ser revogados; seus escopos podem variar de leitura de perfil a acesso amplo à API. Fonte
O ponto prático: leia a linha do escopo antes de decidir. Se você não consegue explicar por que um app precisa do acesso que detém, esse é o app a questionar primeiro.
Tabela de decisão para cada app autorizado
| O que você vê | O que significa | Ação sugerida |
|---|---|---|
| App que você reconhece, escopo compatível com sua finalidade, ainda em uso | Autorização esperada | Mantenha; anote o escopo para revisão futura |
| App que você reconhece, mas não usa mais | Autorização obsoleta | Revogue |
| App que você não reconhece de jeito nenhum | Autorização desconhecida | Investigue antes de revogar; verifique se um colega ou integração o adicionou |
| App com escopo amplo de API que você não consegue justificar | Acesso excessivamente amplo | Revogue ou reduza; não presuma que é somente leitura |
| App que você suspeita estar comprometido | Risco ativo | Revogue imediatamente e depois revise a atividade da conta |
Checklist de autorrevisão
- Abra Editar perfil, Acesso, Aplicações e liste todos os apps autorizados.
- Para cada um, escreva uma linha: o que é, por que tem acesso e qual é o escopo.
- Revogue tudo o que você não conseguir justificar.
- Revogue apps obsoletos que você não usa mais.
- Verifique a lista novamente após algumas semanas; novas autorizações podem aparecer sem um aviso que você tenha notado.
- Mantenha esta auditoria separada das revisões de tokens de acesso de projeto.
Limites honestos
Revogar um aplicativo encerra o acesso futuro dele por meio dessa autorização. Isso não alcança os sistemas próprios do app nem apaga dados já copiados, exportados ou armazenados em cache. Se um app armazenou informações do seu perfil, a revogação não é um pedido de exclusão. Trate a revogação como fechar uma porta, não como limpar o quarto.
A revogação também não torna seu perfil do GitLab privado. A visibilidade do perfil e a autorização de apps são configurações separadas; alterar uma não altera a outra.
Depois de revogar
Sua pegada pública é mais ampla que a lista OAuth de uma única plataforma. Saber quais nomes de usuário (handles) estão visíveis publicamente ajuda você a decidir onde procurar em seguida. O TraceSeek verifica um nome de usuário em mais de 3.000 plataformas e retorna correspondências públicas em 20–30 segundos, com a primeira verificação gratuita e sem necessidade de cadastro. Essas correspondências são pistas, não prova de identidade, e o app não altera configurações de plataformas nem vê informações privadas. Para uma varredura mais ampla, veja encontrar contas online esquecidas; para saber como os resultados são apresentados, leia nossa metodologia.
Fatos principais
- O GitLab lista aplicativos autorizados em Editar perfil, Acesso, Aplicações.
- Aplicativos autorizados podem ser revogados, e seus escopos podem variar de leitura de perfil a acesso amplo à API.
- Revogar um aplicativo autorizado não apaga dados que o app já copiou.
- Aplicativos autorizados são autorizações no nível da conta, separadas dos tokens de acesso de projeto.
- O TraceSeek verifica um nome de usuário em mais de 3.000 plataformas e retorna correspondências públicas em 20–30 segundos.