O erro acontece na hora de copiar
A maioria dos vazamentos desse tipo não é ataque. São erros de copiar e colar cometidos minutos antes de publicar uma bio, uma página de portfólio ou uma assinatura de fórum. A barra de endereços do navegador pode mostrar um endereço de feed enquanto a página que você está vendo parece ser “minha atividade”, então a URL copiada é a que autentica uma solicitação, e não a que simplesmente identifica seu perfil.
A URL do feed de atividades pessoais do GitLab contém um token que autentica a solicitação do feed. Fonte
É exatamente por isso que essa verificação importa: o token não é um segredo separado que você possa revogar depois, isoladamente. Ele está embutido no link, e o link é justamente o que você está prestes a publicar.
Uma URL de perfil público e uma URL de feed de atividades autenticada têm finalidades diferentes. Fonte
Trate essa frase como a regra de decisão para o restante deste guia. Se a URL que você tem em mãos puder ser usada para buscar conteúdo privado do feed, ela não é um link de perfil, não importa a aparência.
Passo 1: Identifique qual tipo de link você tem em mãos
Você não precisa entender o formato do token para tomar a decisão. Precisa saber qual página gerou a URL. Use a tabela abaixo como lista de verificação antes de colar qualquer coisa em público.
| O que você copiou | Sinal típico | Seguro para publicar? | O que fazer |
|---|---|---|---|
| URL da página de perfil | Abre seu perfil quando você está desconectado | Sim, se o próprio perfil for público | Use esta |
| URL do feed de atividades | Contém um trecho longo de token e retorna dados do feed | Não | Descarte; não cole, encurte nem tire print |
| Um link de uma página de configurações ou de token | Você estava em uma área autenticada quando copiou | Trate como privado | Substitua pela URL do perfil |
| Um link que outra pessoa enviou | Origem desconhecida | Não verificado | Abra desconectado antes de confiar |
Vale deixar duas limitações claras. Primeiro, esta tabela é uma rotina editorial de inspeção, não um recurso da plataforma; o GitLab não rotula links para você. Segundo, uma URL que abre bem no seu navegador conectado não prova nada, porque sua sessão pode estar fornecendo um acesso que um estranho não teria.
Um teste prático que não expõe nada: abra o link candidato em uma janela privada em que você não esteja conectado. Se ele pedir autenticação ou retornar conteúdo de feed que você não gostaria que um estranho lesse, pare e volte à sua página de perfil para copiar o endereço de novo. Não cole a URL problemática em um chat, um ticket ou uma postagem pública para “verificar” se ela funciona.
Passo 2: Substitua pela URL do perfil público
Depois de concluir que um link é do tipo errado, a substituição é a ação segura. A sequência a seguir mantém a URL privada fora de todos os lugares intermediários em que ela poderia ser armazenada.
- Feche a aba que mostra o feed ou o endereço com token sem copiá-lo de novo.
- Navegue até seu perfil pelo caminho normal, pela interface do site, e não por um favorito salvo do feed.
- Confirme que o perfil é o que você pretende publicar e que a visibilidade dele é a esperada.
- Copie o endereço somente da página de perfil.
- Cole primeiro em um editor de texto simples, não direto no campo da bio, para poder examinar a string completa antes que ela vá para qualquer lugar.
- Confira a string colada com a tabela acima. Se alguma parte parecer uma credencial longa em vez de um nome ou caminho, descarte e repita a partir do passo 2.
- Cole a URL de perfil verificada na bio e depois visualize a bio como um visitante desconectado veria.
O passo 5 não é formalidade. Campos de bio, editores de texto rico e pré-visualizações de link podem armazenar ou buscar o que você cola, e uma busca de pré-visualização de uma URL com token é mais um lugar por onde o link passou.
Passo 3: Decida se o próprio feed deve ficar visível
Link de perfil e link de feed são questões separadas. Você pode ter uma URL de perfil perfeitamente segura e ainda assim não se sentir confortável com o quanto sua atividade revela. Essa é uma decisão de visibilidade, não de formato de link, e deve ser tomada antes de você publicar qualquer coisa que direcione pessoas ao seu perfil.
O feed pessoal inclui atividades de projetos dos quais você é membro, independentemente da aba de atividades ou do filtro selecionado. Fonte
Isso importa para a decisão: se você conta com uma aba ou um filtro para manter certas atividades fora de vista, o comportamento do feed descrito acima significa que o filtro não é uma barreira de privacidade. Decida se o feed como um todo é aceitável, em vez de supor que uma visão mais restrita protege você.
Se você concluir que não é aceitável, o próximo passo é revisar o que continua visível publicamente depois de ajustar a visibilidade do perfil, e não apenas mudar uma configuração e seguir em frente. Uma continuação relevante é o guia sobre tornar seu perfil do GitLab privado e verificar o que permanece público, que trata do lado da visibilidade dessa decisão.
Se o link já foi compartilhado
Aja partindo do princípio de que qualquer coisa publicada em público pode ter sido copiada, armazenada em cache ou indexada, mesmo que você a apague um minuto depois. Apagar uma postagem não recolhe cópias que outras pessoas ou sistemas automatizados já fizeram, e este guia não vai fingir o contrário.
Use os controles autorizados de token e de conta do próprio site, ou os canais de suporte dele, para lidar com uma credencial exposta. O caminho exato no menu e as opções de recuperação disponíveis não são estabelecidos pelo material revisado aqui, então verifique na sua conta em vez de seguir uma sequência lembrada de uma interface antiga. Não cole a URL exposta em um issue público, em uma postagem em rede social pedindo ajuda ou em um site de terceiros; descreva o problema sem reproduzir o link.
Depois de agir pelo caminho autorizado, verifique de novo os lugares em que você publicou: campos de bio em cada site, assinaturas, páginas de portfólio, postagens fixadas e qualquer documento que você compartilhou. Substitua cada ocorrência pela URL do perfil e anote os lugares que você não conseguiu editar.
Onde uma busca por nome de usuário se encaixa, e onde ela para
Se sua preocupação é o quanto um nome de usuário é reutilizado entre sites, uma busca por nome de usuário pode revelar correspondências públicas para revisar. O TraceSeek cobre mais de 3.000 plataformas e oferece uma primeira varredura gratuita que leva de 20 a 30 segundos, segundo o produto. Isso é uma etapa de levantamento, não prova de propriedade: um nome de usuário igual em outro site pode pertencer a outra pessoa, e uma busca não é um inventário completo de todas as contas.
O que uma busca não consegue fazer é dizer se uma URL específica que você copiou contém uma credencial. Esse julgamento vem da inspeção do Passo 1. Mantenha as duas tarefas separadas: use a busca para encontrar perfis públicos que valem uma revisão e use a checagem do tipo de link para decidir o que é seguro publicar.
Lista rápida antes de colar
- Copiei a URL da minha página de perfil, não de um feed, de configurações ou de uma página de token.
- A string completa não contém nenhum trecho longo parecido com credencial.
- O link abre como esperado em uma janela privada, sem sessão.
- Colei em um editor de texto simples antes do campo da bio.
- Visualizei a bio como um visitante desconectado.
- Decidi se o feed de atividades como um todo é aceitável de expor.
- Se já compartilhei um link de feed, usei os controles autorizados da conta ou o suporte e não repostei o link.
- Verifiquei de novo todos os lugares em que o link antigo apareceu.
Se alguma caixa estiver desmarcada, o padrão seguro é não publicar nada e voltar à página de perfil para copiar de novo.