Где находится список авторизаций
GitLab хранит приложения, которые вы авторизовали, в одном списке на уровне аккаунта. Откройте настройки профиля, затем «Редактировать профиль», затем «Доступ», затем «Приложения». Эта страница — ваша инвентаризация OAuth: она показывает сторонние приложения, которые могут действовать от вашего имени, и области доступа (scopes), которыми каждое из них обладает.
GitLab перечисляет авторизованные приложения в разделе «Редактировать профиль» → «Доступ» → «Приложения». Источник
Это не то же самое, что токены доступа к проектам (project access tokens) или ключи развёртывания (deploy keys). Те — учётные данные, привязанные к репозиторию или проекту; авторизованные приложения привязаны к вашей учётной записи и могут иметь доступ в её пределах. Проверяйте их отдельно, чтобы чистый список OAuth не создавал ложного спокойствия насчёт учётных данных проектов.
Что говорят области доступа
Области доступа описывают, насколько далеко может простираться влияние приложения. Они не все эквивалентны, и не стоит предполагать, что каждое приложение работает только на чтение. Приложение, которое лишь читает ваш профиль, — это другой риск по сравнению с тем, у которого широкий доступ к API, позволяющий писать или действовать в рамках вашего аккаунта.
Авторизованные приложения можно отозвать; их области доступа могут варьироваться от чтения профиля до широкого доступа к API. Источник
Практический момент: прочитайте строку с областью доступа, прежде чем решать. Если вы не можете объяснить, зачем приложению нужен имеющийся у него доступ, — это первое приложение, которое стоит подвергнуть сомнению.
Таблица решений для каждого авторизованного приложения
| Что вы видите | Что это значит | Предлагаемое действие |
|---|---|---|
| Приложение, которое вы узнаёте, область доступа соответствует его назначению, всё ещё используется | Ожидаемая авторизация | Оставьте; запишите область доступа для будущей проверки |
| Приложение, которое вы узнаёте, но больше не используете | Устаревшая авторизация | Отзовите |
| Приложение, которое вы совсем не узнаёте | Неизвестная авторизация | Разберитесь, прежде чем отзывать; проверьте, не добавил ли его коллега или интеграция |
| Приложение с широкой областью доступа к API, которую вы не можете обосновать | Чрезмерный доступ | Отзовите или сократите; не предполагайте, что оно только для чтения |
| Приложение, которое вы подозреваете во взломе | Активный риск | Отзовите незамедлительно, затем проверьте активность аккаунта |
Чек-лист самостоятельной проверки
- Откройте «Редактировать профиль» → «Доступ» → «Приложения» и перечислите все авторизованные приложения.
- Для каждого напишите одну строку: что это, почему у него есть доступ и какова его область доступа.
- Отзовите всё, что вы не можете обосновать.
- Отзовите устаревшие приложения, которые вы больше не используете.
- Перепроверьте список через несколько недель; новые авторизации могут появиться без запроса, который вы заметили.
- Держите эту проверку отдельно от проверки токенов доступа к проектам.
Честные ограничения
Отзыв приложения прекращает его будущий доступ через эту авторизацию. Он не проникает во внутренние системы приложения и не удаляет данные, уже скопированные, экспортированные или кэшированные. Если приложение сохранило информацию вашего профиля, отзыв — это не запрос на удаление. Воспринимайте отзыв как закрытие двери, а не как уборку комнаты.
Отзыв также не делает ваш профиль GitLab приватным. Видимость профиля и авторизация приложений — это разные настройки; изменение одной не меняет другую.
После отзыва
Ваш публичный след шире, чем список OAuth одной платформы. Знание того, какие имена пользователей видны публично, помогает решить, где искать дальше. TraceSeek проверяет имя пользователя по 3 000+ платформам и возвращает публичные совпадения за 20–30 секунд, первый скан бесплатный и не требует регистрации. Эти совпадения — зацепки, а не доказательство личности, и приложение не меняет настройки платформ и не видит приватную информацию. Для более широкого охвата см. найти забытые онлайн-аккаунты; о том, как подаются результаты, читайте в нашей методологии.
Ключевые факты
- GitLab перечисляет авторизованные приложения в разделе «Редактировать профиль» → «Доступ» → «Приложения».
- Авторизованные приложения можно отозвать, и их области доступа могут варьироваться от чтения профиля до широкого доступа к API.
- Отзыв авторизованного приложения не удаляет данные, которые приложение уже скопировало.
- Авторизованные приложения — это авторизации на уровне аккаунта, отдельно от токенов доступа к проектам.
- TraceSeek проверяет имя пользователя по 3 000+ платформам и возвращает публичные совпадения за 20–30 секунд.