Що насправді являє собою OAuth-авторизація
Коли ви натискаєте «Authorize» на сторонньому додатку, GitHub фіксує дозвіл: тепер додаток може діяти від вашого імені в межах схвалених вами прав. Цей дозвіл — не сеанс браузера, не SSH-ключ і не встановлений GitHub App із власними налаштуваннями інсталяції. Кожен із них відкликається або видаляється в іншому місці, тож перший крок — визначити, на який саме тип доступу ви дивитеся.
| Що ви бачите | Що це | Де керується |
|---|---|---|
| Сторонній додаток із переліком схвалених вами дозволів | OAuth-авторизація | Settings → Applications → Authorized OAuth Apps |
| Пара ключів, яку ви додали для Git через SSH | SSH-ключ | Settings → SSH and GPG keys |
| Ви ввійшли в цьому браузері | Сеанс входу | Вихід із системи або сторінка сеансів |
| Додаток, встановлений на репозиторій чи організацію | Інсталяція GitHub App | Налаштування інсталяції додатка або організації |
Якщо запис, на який ви дивитеся, не є OAuth-авторизацією, відкликання його зі списку OAuth його не стосуватиметься.
Чому варто переглянути перед відкликанням
Стара авторизація може досі виконувати щось, від чого ви залежите, наприклад інструмент розгортання, плагін редактора чи інтеграцію CI. Відкликання припиняє доступ цього додатка через дозвіл — це і є метою, — але воно також може зламати робочий процес, який досі від нього залежить. Перед дією перегляньте назву додатка, перелічені дозволи та коли ви востаннє ним користувалися.
GitHub рекомендує переглядати авторизовані додатки, зокрема ті, що мають доступ до приватних репозиторіїв. Джерело
Якщо ви не впізнаєте додаток або його доступ ширший за завдання, яке він виконує, це випадок для відкликання. Якщо ви його впізнаєте й досі користуєтеся ним, подумайте, чи поточні дозволи все ще доречні, перш ніж вирішувати.
Контрольний список до і після
Використовуйте його як короткий запис, щоб потім зрозуміти, що змінилося, і за потреби виправити помилку.
Перед відкликанням
- Запишіть назву додатка та показані для нього дозволи, щоб пізніше впізнати той самий запис.
- Перевірте, чи щось із того, чим ви зараз користуєтеся, залежить від цього додатка: збірка, розгортання, вхід у редактор, заплановане завдання.
- Переконайтеся, що ви дивитеся на Authorized OAuth Apps, а не на SSH-ключі, сеанси чи встановлені додатки.
- Вирішіть, чи хочете відкликати одну конкретну авторизацію, чи всі.
Після відкликання
- Перезавантажте сторінку Authorized OAuth Apps і переконайтеся, що запис зник.
- Запустіть робочий процес, який використовував додаток, один раз і зауважте, чи тепер він просить повторно авторизуватися. Це очікуваний знак, що дозвіл видалено.
- Якщо робочий процес зламався, а він вам усе ще потрібен, авторизуйте свідомо й перегляньте дозволи, які він запитує.
- Залишайте спосіб відновлення облікового запису, доки не переконаєтеся, що ніщо інше не залежало від відкликаного доступу.
Як відкликати авторизацію
Відкрийте Settings облікового запису, Applications у розділі Integrations, потім Authorized OAuth Apps, щоб переглянути доступ. Джерело
Зі списку відкрийте меню для конкретного додатка, який хочете видалити.
Невпізнану або застарілу авторизацію можна відкликати з меню додатка; на сторінці також є опція Revoke all. Джерело
Відкликайте один запис, коли хочете прибрати лише один додаток. Опція Revoke all призначена для випадку, коли ви переглянули список і хочете очистити всі авторизації; вона вплине на кожен додаток на цій сторінці, а не лише на той, який ви розглядали.
Межі, які варто пам’ятати
- Відкликання — це не видалення. Видалення дозволу припиняє майбутній доступ через нього. Воно не видаляє дані, які додаток уже зберіг або скопіював поза GitHub, і не є гарантією стирання.
- Відкликання — це не вихід із системи. Ваш сеанс браузера на GitHub окремий; відкликання додатка не виводить вас із системи, а вихід із системи не відкликає авторизації додатків.
- SSH-ключ — це не OAuth-додаток. Якщо доступ, який вас турбує, — це ключ, видалення відбувається в налаштуваннях SSH and GPG keys, а не в Authorized OAuth Apps.
- Встановлений GitHub App — це не той самий запис. Доступ на рівні інсталяції керується там, де встановлено додаток, тож перевіряйте там, якщо додаток не з’являється у списку OAuth.
- Збіг публічного імені користувача — це не доказ. Якщо ви перевіряєте, чи з’являється якийсь нікнейм деінде, збіг у публічному профілі — це зачіпка, а не доказ володіння. TraceSeek може шукати відомі публічні імена користувачів на 3.000+ платформах, але не може переглядати чи відкликати налаштування GitHub за вас.
Коли вважати авторизацію підозрілою
Вам не потрібна драматична історія, щоб діяти. Практичні сигнали такі: ви не впізнаєте додаток, дозволи ширші за завдання, яке він виконує, або ви не пам’ятаєте, що авторизували його. У таких випадках відкликання конкретного запису — розумний крок, після якого варто перевірити, чи не перестало працювати щось, від чого ви залежите. Якщо робочий процес справді зламався, повторно авторизуйте лише після підтвердження, що це той додаток, якого ви очікуєте, а дозволи відповідають його потребам.