O que você está realmente excluindo
Um token de acesso pessoal (PAT) é uma credencial entre várias que podem agir em sua conta do GitHub. Antes de excluir qualquer coisa, ajuda saber que tipo de credencial você está vendo, porque as etapas de remoção e os efeitos colaterais são diferentes.
| Credencial | O que ela normalmente faz | Onde é gerenciada | O que a exclusão afeta |
|---|---|---|---|
| Token de acesso pessoal (refinado ou clássico) | Permite que scripts, ferramentas ou CI ajam em seu nome com permissões específicas | Configurações → Configurações de desenvolvedor → Tokens de acesso pessoal | Qualquer coisa que ainda use esse token, além de qualquer chave de implantação que o token criou |
| Autorização OAuth | Um aplicativo de terceiros que você aprovou para agir em sua conta | Configurações → Aplicativos (aplicativos OAuth autorizados) | O acesso desse aplicativo; o aplicativo em si não é excluído |
| Chave SSH de conta | Autentica operações Git via SSH para sua conta | Configurações → Chaves SSH e GPG | O acesso SSH que depende dessa chave |
| Sessão de navegador | Uma sessão ativa conectada em um navegador | Controles de saída e configurações de sessão | Apenas essa sessão; não é um token nem uma chave |
Este artigo cobre a primeira linha. As outras linhas estão listadas para que você não confunda uma com a outra: remover uma autorização OAuth ou uma chave SSH não exclui um token de acesso pessoal, e excluir um token não revoga chaves SSH nem encerra sessões de navegador.
Etapa 1: Monte um inventário de tokens sem expor valores
O objetivo é uma lista de nomes de tokens e onde cada um é usado — não uma lista de strings de token. Trate o valor do token como um segredo que você nunca copia para notas, tickets ou chat.
- Abra as configurações da sua conta do GitHub e vá em Configurações de desenvolvedor, depois Tokens de acesso pessoal. Verifique tanto Tokens refinados quanto Tokens clássicos, pois os dois tipos são listados separadamente.
- Para cada token, registre apenas: o nome do token, seu tipo (refinado ou clássico) e qualquer nota que o GitHub mostre sobre sua finalidade ou expiração.
- Para cada token, anote onde você acredita que ele é usado: um job de CI, um script de implantação, uma ferramenta local, uma tarefa agendada, uma integração de terceiros ou nenhum lugar que você se lembre.
- Marque os tokens que você não consegue situar. Um token não situado é um candidato à revisão, não à exclusão automática — algo ainda pode depender dele.
Uma tabela de trabalho simples é suficiente:
| Nome do token | Tipo | Consumidor conhecido | Último uso conhecido | Decisão |
|---|---|---|---|---|
| exemplo-deploy | Refinado | Job de implantação de CI | Desconhecido | Verificar job antes de excluir |
| exemplo-script-antigo | Clássico | Nenhum encontrado | Antigo | Verificar, depois excluir |
Não cole valores de token nesta tabela. Se um consumidor armazena o token, verifique a configuração desse sistema em vez de reler o segredo.
Etapa 2: Verifique a automação dependente antes da remoção
Excluir um token quebra tudo o que ainda se autentica com ele. Antes de excluir, confirme cada consumidor conhecido:
- Procure em sua configuração de CI, scripts de implantação e tarefas agendadas referências ao nome do token ou à entrada do armazenamento de segredos que o contém.
- Verifique se as permissões do token correspondem ao que o consumidor precisa. Um token que parece não utilizado pode ser a única credencial funcional para uma tarefa pequena.
- Decida por token: manter, substituir por uma credencial mais restrita ou excluir. Se não conseguir confirmar um consumidor, pause em vez de adivinhar.
O GitHub documenta uma dependência específica que vale a pena verificar primeiro: um token de acesso pessoal que criou uma chave de implantação está vinculado a essa chave de implantação.
O GitHub alerta que excluir um token de acesso pessoal que criou uma chave de implantação também exclui essa chave de implantação. Fonte
Esse alerta é restrito. Ele se aplica a chaves de implantação criadas por esse token. Não é uma afirmação de que excluir qualquer token afeta todas as chaves SSH, todas as chaves de implantação ou todas as integrações da conta. Verifique o histórico do token específico e as chaves de implantação do repositório em vez de presumir um efeito amplo.
Etapa 3: Exclua o token
Quando você confirmou que um token é seguro para remover, o caminho documentado pelo GitHub é:
O caminho de exclusão de token de acesso pessoal do GitHub é Configurações, Configurações de desenvolvedor, Tokens de acesso pessoal, depois Tokens refinados ou Tokens clássicos e Excluir. Fonte
Após a exclusão, verifique o resultado em vez de presumir que funcionou:
- Confirme que o token não aparece mais na lista de seu tipo.
- Execute ou dispare a automação que você identificou como consumidora e verifique se ela ainda se autentica. Se falhar, você encontrou uma dependência que passou despercebida; restaure o acesso com uma nova credencial que você controla em vez de reutilizar o valor antigo.
- Se o token excluído tiver criado uma chave de implantação, verifique as chaves de implantação do repositório para confirmar que a remoção documentada ocorreu e que nenhuma outra chave foi afetada.
Caminhos de falha para os quais se planejar
| Situação | O que fazer |
|---|---|
| Um job de CI falha após a exclusão | Identifique qual segredo ele usava, confirme o responsável pelo job e emita uma credencial substituta pelo seu processo normal |
| Você não consegue encontrar o consumidor de um token | Não exclua por suposição; procure primeiro em arquivos de configuração e armazenamentos de segredos, e mantenha o token até conseguir confirmar |
| Uma chave de implantação desapareceu | Essa é a consequência documentada quando o token a criou; recrie a chave deliberadamente se o repositório ainda precisar dela |
| Você não tem certeza se a credencial é um token ou um aplicativo OAuth | Verifique a seção de configurações em que ela aparece; os dois são gerenciados separadamente |
O que esta checklist não cobre
Este guia não descreve rotação de credenciais, emissão de novos tokens ou alteração de permissões — essas etapas dependem da sua própria configuração e da interface atual do GitHub, que você deve confirmar no momento em que agir. Também não cobre a remoção de autorizações OAuth, chaves SSH de conta ou sessões de navegador além de observar que são separadas. Excluir um token remove essa credencial; isso não prova por si só que quaisquer dados mantidos por um serviço conectado tenham sido apagados.
Onde uma busca de nome de usuário se encaixa, e onde não se encaixa
Se sua limpeza faz parte de uma revisão mais ampla do que está publicamente visível sob um nome de usuário, o TraceSeek é um aplicativo separado que verifica nomes de usuário públicos conhecidos em mais de 3.000 plataformas. Ele relata correspondências públicas, que são pistas e não prova de propriedade, e não consegue fazer login em contas, alterar configurações de conta, excluir tokens ou verificar a identidade real de ninguém. Não é uma ferramenta para acesso a contas privadas ou remoção garantida de qualquer coisa. Para a tarefa de token neste artigo, o trabalho acontece nas configurações do seu GitHub, não em um aplicativo de busca.