Де знаходиться список авторизацій
GitLab зберігає авторизовані вами додатки в одному списку на рівні облікового запису. Відкрийте налаштування профілю, потім Edit profile, потім Access, потім Applications. Ця сторінка — ваш інвентар OAuth: вона показує сторонні додатки, які можуть діяти від вашого імені, та області доступу (scopes), які має кожен із них.
GitLab показує авторизовані додатки в розділі Edit profile → Access → Applications. Джерело
Це не те саме, що токени доступу до проєктів (project access tokens) або ключі розгортання (deploy keys). Ті є обліковими даними, прив’язаними до репозиторію чи проєкту; авторизовані додатки прив’язані до вашого користувацького облікового запису й можуть мати доступ у його межах. Перевіряйте їх окремо, щоб чистий список OAuth не створював хибного відчуття безпеки щодо облікових даних проєкту.
Що вам кажуть області доступу
Області доступу (scopes) описують, наскільки далеко може сягнути додаток. Вони не всі рівнозначні, і не варто припускати, що кожен додаток має лише доступ на читання. Додаток, який лише читає ваш профіль, — це інший ризик, ніж той, що має широкий доступ до API і може писати або діяти в межах вашого облікового запису.
Авторизовані додатки можна відкликати; їхні області доступу можуть варіюватися від читання профілю до широкого доступу до API. Джерело
Практичний момент: прочитайте рядок з областями доступу, перш ніж вирішувати. Якщо ви не можете пояснити, навіщо додатку потрібен той доступ, який він має, — це той додаток, який слід поставити під сумнів першим.
Таблиця рішень для кожного авторизованого додатка
| Що ви бачите | Що це означає | Рекомендована дія |
|---|---|---|
| Додаток, який ви впізнаєте, область доступу відповідає його призначенню, він досі використовується | Очікувана авторизація | Залиште його; запишіть область доступу для подальшої перевірки |
| Додаток, який ви впізнаєте, але більше не використовуєте | Застаріла авторизація | Відкличте його |
| Додаток, який ви взагалі не впізнаєте | Невідома авторизація | Дослідіть, перш ніж відкликати; перевірте, чи його не додав колега або інтеграція |
| Додаток із широкою областю доступу до API, яку ви не можете обґрунтувати | Надмірний доступ | Відкличте або обмежте; не припускайте, що це лише читання |
| Додаток, який ви підозрюєте у зламі | Активний ризик | Відкличте негайно, потім перегляньте активність облікового запису |
Чекліст самоперевірки
- Відкрийте Edit profile → Access → Applications і перелічіть кожен авторизований додаток.
- Для кожного запишіть один рядок: що це, чому він має доступ і яка його область доступу.
- Відкличте все, що ви не можете обґрунтувати.
- Відкличте застарілі додатки, які ви більше не використовуєте.
- Перевірте список ще раз через кілька тижнів; нові авторизації можуть з’явитися без запиту, який ви помітили.
- Тримайте цей аудит окремо від перевірок токенів доступу до проєктів.
Чесні обмеження
Відкликання додатка припиняє його майбутній доступ через цю авторизацію. Воно не проникає в системи самого додатка й не видаляє дані, які вже скопійовано, експортовано чи закешовано. Якщо додаток зберіг інформацію вашого профілю, відкликання не є запитом на видалення. Сприймайте відкликання як закриття дверей, а не як прибирання кімнати.
Відкликання також не робить ваш профіль GitLab приватним. Видимість профілю та авторизація додатків — це окремі налаштування; зміна одного не змінює іншого.
Після відкликання
Ваш публічний слід ширший за список OAuth однієї платформи. Знання того, які імена користувачів (handles) є публічно видимими, допомагає вирішити, де шукати далі. TraceSeek перевіряє ім’я користувача на 3,000+ платформах і повертає публічні збіги за 20–30 секунд, перше сканування безкоштовне і не потребує реєстрації. Ці збіги — зачіпки, а не доказ особи, і додаток не змінює налаштування платформ та не бачить приватної інформації. Для ширшого огляду дивіться пошук забутих онлайн-акаунтів; про те, як подаються результати, читайте в нашій методології.
Ключові факти
- GitLab показує авторизовані додатки в розділі Edit profile → Access → Applications.
- Авторизовані додатки можна відкликати, а їхні області доступу можуть варіюватися від читання профілю до широкого доступу до API.
- Відкликання авторизованого додатка не видаляє дані, які додаток уже скопіював.
- Авторизовані додатки — це авторизації на рівні облікового запису, окремі від токенів доступу до проєктів.
- TraceSeek перевіряє ім’я користувача на 3,000+ платформах і повертає публічні збіги за 20–30 секунд.