Ошибка возникает в момент копирования
Большинство утечек такого рода — не атаки. Это ошибки копирования, допущенные за минуты до публикации описания профиля, страницы портфолио или подписи на форуме. В адресной строке браузера может отображаться адрес ленты, хотя страница, на которую вы смотрите, воспринимается как «моя активность», поэтому копируется именно тот URL, который аутентифицирует запрос, а не тот, который просто указывает на ваш профиль.
URL персональной ленты активности GitLab содержит токен, который аутентифицирует запрос к ленте. Источник
Именно поэтому эта проверка важна: токен — не отдельный секрет, который можно потом отозвать изолированно. Он встроен в ссылку, а ссылку вы как раз собираетесь опубликовать.
Публичный URL профиля и аутентифицированный URL ленты активности служат разным целям. Источник
Считайте это предложение правилом принятия решений для всего дальнейшего руководства. Если URL, который у вас в руках, может быть использован для получения закрытого содержимого ленты, то это не ссылка на профиль, как бы она ни выглядела.
Шаг 1: Определите, какой тип ссылки у вас в руках
Чтобы принять решение, не нужно разбираться в формате токена. Нужно знать, какая страница создала этот URL. Используйте таблицу ниже как контрольный список для проверки, прежде чем что-либо публиковать публично.
| Что вы скопировали | Типичный признак | Безопасно для публикации? | Что делать |
|---|---|---|---|
| URL страницы профиля | Открывает ваш профиль без входа в систему | Да, если сам профиль публичный | Используйте его |
| URL ленты активности | Содержит длинный сегмент-токен и возвращает данные ленты | Нет | Откажитесь от него; не вставляйте, не сокращайте и не делайте скриншот |
| Ссылка со страницы настроек или токенов | Вы копировали её, находясь в аутентифицированной зоне | Считайте приватной | Замените на URL профиля |
| Ссылка, которую прислал кто-то другой | Источник неизвестен | Не проверена | Откройте её без входа в систему, прежде чем доверять |
Стоит прямо назвать два ограничения. Во-первых, эта таблица — редакционная процедура проверки, а не функция платформы; GitLab не помечает ссылки за вас. Во-вторых, URL, который нормально открывается в вашем браузере с выполненным входом, ничего не доказывает, потому что ваша сессия может предоставлять доступ, которого у постороннего не будет.
Практическая проверка, которая ничего не раскрывает: откройте ссылку-кандидат в приватном окне, где вы не вошли в систему. Если она требует аутентификации или возвращает содержимое ленты, которое вы не хотели бы показывать постороннему, остановитесь и вернитесь на страницу профиля, чтобы скопировать адрес заново. Не вставляйте неудачный URL в чат, тикет или публичный пост, чтобы «проверить» его.
Шаг 2: Замените её на публичный URL профиля
Когда вы решили, что ссылка не того типа, безопасное действие — замена. Следующая последовательность не даёт приватному URL попасть в промежуточные места, где он мог бы сохраниться.
- Закройте вкладку, где отображается лента или адрес с токеном, не копируя его снова.
- Перейдите в свой профиль обычным способом, через интерфейс сайта, а не через сохранённую закладку на ленту.
- Убедитесь, что это тот профиль, который вы собираетесь публиковать, и что его видимость соответствует вашим ожиданиям.
- Скопируйте адрес только со страницы профиля.
- Сначала вставьте его в простой текстовый редактор, а не сразу в поле описания профиля, чтобы увидеть всю строку целиком, прежде чем она куда-либо попадёт.
- Сверьте вставленную строку с таблицей выше. Если какая-либо часть выглядит как длинный учётный данные, а не как имя или путь, откажитесь от неё и повторите с шага 2.
- Вставьте проверенный URL профиля в описание профиля, затем просмотрите описание так, как его увидит посетитель без входа в систему.
Шаг 5 — не формальность. Поля описания профиля, редакторы форматированного текста и предварительный просмотр ссылок могут сохранять или запрашивать то, что вы вставляете, а запрос предварительного просмотра URL с токеном — ещё одно место, куда попала ссылка.
Шаг 3: Решите, должна ли лента быть видимой
Ссылка на профиль и ссылка на ленту — разные вопросы. У вас может быть совершенно безопасный URL профиля, и при этом вам может быть некомфортно от того, насколько много раскрывает ваша активность. Это решение о видимости, а не о формате ссылки, и его следует принять до того, как вы опубликуете что-либо, что ведёт людей к вашему профилю.
Персональная лента включает активность из проектов членства независимо от выбранной вкладки активности или фильтра. Источник
Это важно для решения: если вы полагаетесь на вкладку или фильтр, чтобы скрыть определённую активность, описанное выше поведение ленты означает, что фильтр не является границей приватности. Решите, приемлема ли лента в целом, вместо того чтобы предполагать, что более узкое представление вас защищает.
Если вы придёте к выводу, что это неприемлемо, следующий шаг — проверить, что остаётся публично видимым после изменения видимости профиля, а не просто изменить одну настройку и на этом остановиться. Уместное продолжение — руководство о том, как сделать профиль GitLab приватным и проверить, что осталось публичным, которое рассматривает сторону видимости этого решения.
Если ссылка уже была опубликована
Действуйте исходя из того, что всё опубликованное публично могло быть скопировано, закэшировано или проиндексировано, даже если вы удалите это минутой позже. Удаление поста не отзывает копии, которые уже сделали другие люди или автоматические системы, и это руководство не будет утверждать обратное.
Используйте собственные авторизованные средства управления токенами и учётной записью сайта или его каналы поддержки, чтобы разобраться с раскрытыми учётными данными. Точный путь в меню и доступные варианты восстановления не установлены рассмотренными здесь материалами, поэтому проверьте их в своей учётной записи, а не следуйте запомненной последовательности из старого интерфейса. Не вставляйте раскрытый URL в публичный issue, в пост в соцсети с просьбой о помощи или на сторонний сайт; опишите проблему, не воспроизводя ссылку.
После того как вы предприняли действия через авторизованный канал, повторно проверьте места, где вы публиковали ссылку: поля описания профиля на каждом сайте, подписи, страницы портфолио, закреплённые посты и любой документ, которым вы поделились. Замените каждое вхождение на URL профиля и отметьте места, которые вы не смогли отредактировать.
Где уместен поиск по имени пользователя и где он заканчивается
Если вас беспокоит, насколько широко имя пользователя используется на разных сайтах, поиск по имени пользователя может выявить публичные совпадения для проверки. TraceSeek охватывает 3 000+ платформ и предлагает бесплатное первое сканирование, которое, по данным продукта, занимает 20–30 секунд. Это шаг для поиска зацепок, а не доказательство принадлежности: совпадающее имя пользователя на другом сайте может принадлежать кому-то другому, а поиск не является полным перечнем всех учётных записей.
Чего поиск сделать не может — так это сказать, содержит ли конкретный скопированный вами URL учётные данные. Это суждение следует из проверки на шаге 1. Держите эти две задачи раздельно: используйте поиск, чтобы найти публичные профили, которые стоит проверить, а проверку типа ссылки — чтобы решить, что безопасно публиковать.
Краткий контрольный список перед вставкой
- Я скопировал URL со страницы своего профиля, а не из ленты, настроек или страницы токенов.
- В полной строке нет длинного сегмента, похожего на учётные данные.
- Ссылка открывается как ожидалось в приватном окне без сессии.
- Я вставил её в простой текстовый редактор перед полем описания профиля.
- Я просмотрел описание профиля так, как его увидит посетитель без входа в систему.
- Я решил, приемлемо ли раскрывать ленту активности в целом.
- Если я уже поделился ссылкой на ленту, я использовал авторизованные средства управления учётной записью или поддержку и не публиковал ссылку повторно.
- Я повторно проверил каждое место, где появлялась старая ссылка.
Если какой-либо пункт не отмечен, безопасный вариант по умолчанию — ничего не публиковать и вернуться на страницу профиля за новой копией.