O que uma autorização OAuth realmente é
Quando você clica em “Autorizar” em um app de terceiros, o GitHub registra uma concessão: o app agora pode agir em seu nome dentro das permissões que você aprovou. Essa concessão não é sua sessão do navegador, não é uma chave SSH e não é um GitHub App instalado com suas próprias configurações de instalação. Cada um desses itens é revogado ou removido em um lugar diferente, então o primeiro passo é identificar qual tipo de acesso você está realmente vendo.
| O que você vê | O que é | Onde é gerenciado |
|---|---|---|
| Um app de terceiros listado com escopos que você aprovou | Autorização OAuth | Configurações → Aplicativos → Aplicativos OAuth autorizados |
| Um par de chaves que você adicionou para Git via SSH | Chave SSH | Configurações → Chaves SSH e GPG |
| Você está conectado neste navegador | Sessão de login | Sair da conta, ou a página de sessões |
| Um app instalado em um repositório ou organização | Instalação de GitHub App | Configurações de instalação do app ou da organização |
Se a entrada que você está vendo não é uma autorização OAuth, revogá-la na lista OAuth não vai resolver.
Por que revisar antes de revogar
Uma autorização antiga pode ainda estar fazendo algo de que você depende, como uma ferramenta de implantação, um plugin de editor ou uma integração de CI. Revogá-la corta o acesso desse app por meio da concessão, o que é o objetivo, mas também pode quebrar um fluxo de trabalho que ainda depende dela. Revise o nome do app, as permissões listadas e quando você o usou pela última vez antes de agir.
O GitHub recomenda revisar os aplicativos autorizados, incluindo aplicativos com acesso a repositórios privados. Fonte
Se você não reconhece o app, ou se o acesso que ele tem é mais amplo do que a tarefa que ele executa, esse é o caso de revogar. Se você o reconhece e ainda o usa, considere se os escopos atuais ainda são apropriados antes de decidir.
Checklist antes e depois
Use isto como um registro curto para poder dizer o que mudou e desfazer um erro se necessário.
Antes de revogar
- Anote o nome do app e as permissões mostradas para ele, para reconhecer a mesma entrada depois.
- Verifique se algo que você usa atualmente depende desse app: um build, um deploy, um login de editor, uma tarefa agendada.
- Confirme que você está vendo Aplicativos OAuth autorizados e não chaves SSH, sessões ou apps instalados.
- Decida se você quer revogar uma autorização específica ou todas elas.
Depois de revogar
- Recarregue a página de Aplicativos OAuth autorizados e confirme que a entrada desapareceu.
- Execute uma vez o fluxo de trabalho que usava o app e observe se agora ele pede para você autorizar novamente. Esse pedido é o sinal esperado de que a concessão foi removida.
- Se um fluxo de trabalho quebrar e você ainda precisar dele, autorize novamente de forma deliberada e revise os escopos solicitados.
- Mantenha seu método de recuperação de conta ativo até ter certeza de que nada mais dependia do acesso revogado.
Como revogar a autorização
Abra Configurações da conta, Aplicativos em Integrações, depois Aplicativos OAuth autorizados para revisar o acesso. Fonte
Na lista, abra o menu do app específico que você deseja remover.
Uma autorização não reconhecida ou desatualizada pode ser revogada no menu do app; a página também oferece Revogar tudo. Fonte
Revogue a entrada única quando você só quer remover um app. A opção Revogar tudo serve para quando você revisou a lista e quer limpar todas as autorizações; ela afetará todos os apps naquela página, não apenas o que você estava vendo.
Limites de falha a ter em mente
- Revogar não é excluir. Remover a concessão impede o acesso futuro por meio dela. Não remove dados que o app já armazenou ou copiou fora do GitHub, e não é garantia de apagamento.
- Revogar não é sair da conta. Sua sessão do navegador no GitHub é separada; revogar um app não faz você sair da conta, e sair da conta não revoga autorizações de apps.
- Uma chave SSH não é um app OAuth. Se o acesso que preocupa você é uma chave, a remoção acontece nas configurações de Chaves SSH e GPG, não em Aplicativos OAuth autorizados.
- Um GitHub App instalado não é a mesma entrada. O acesso no nível de instalação é gerenciado onde o app está instalado, então verifique lá se o app não aparecer na lista OAuth.
- Uma correspondência de nome de usuário público não é prova. Se você está verificando se um identificador aparece em outro lugar, uma correspondência em um perfil público é uma pista, não evidência de propriedade. O TraceSeek pode buscar nomes de usuário públicos conhecidos em mais de 3.000 plataformas, mas não pode revisar ou revogar configurações do GitHub para você.
Quando tratar uma autorização como suspeita
Você não precisa de uma história dramática para agir. Os sinais práticos são: você não reconhece o app, as permissões são mais amplas do que a tarefa que ele executa, ou você não se lembra de tê-lo autorizado. Nesses casos, revogar a entrada específica é um passo razoável, seguido de verificar se algo de que você depende para de funcionar. Se um fluxo de trabalho quebrar, autorize novamente apenas depois de confirmar que o app é o esperado e que os escopos correspondem ao que ele precisa.