Помилка трапляється під час копіювання
Більшість таких витоків — не атаки. Це помилки копіювання-вставлення, зроблені за кілька хвилин до публікації опису, сторінки портфоліо чи підпису на форумі. Адресний рядок браузера може показувати адресу стрічки, тоді як сторінка, на яку ви дивитеся, відчувається як «моя активність», тож копіюється саме той URL, що автентифікує запит, а не той, що просто називає ваш профіль.
URL особистої стрічки активності GitLab містить токен, який автентифікує запит до стрічки. Джерело
Саме тому ця перевірка важлива: токен не є окремим секретом, який можна пізніше відкликати ізольовано. Він вбудований у посилання, а посилання — це те, що ви збираєтеся опублікувати.
Публічний URL профілю та автентифікований URL стрічки активності слугують різним цілям. Джерело
Вважайте це речення правилом для решти цього посібника. Якщо URL, який ви тримаєте, можна використати для отримання приватного вмісту стрічки, це не посилання на профіль, хоч би як воно виглядало.
Крок 1: Визначте, який тип посилання ви тримаєте
Вам не потрібно розуміти формат токена, щоб ухвалити рішення. Потрібно знати, яка сторінка створила URL. Використовуйте таблицю нижче як контрольний список для перевірки, перш ніж щось публікувати.
| Що ви скопіювали | Типова ознака | Безпечно для публіки? | Що робити |
|---|---|---|---|
| URL сторінки профілю | Відкриває ваш профіль, коли ви вийшли з системи | Так, якщо сам профіль публічний | Використовуйте це |
| URL стрічки активності | Містить довгий сегмент токена та повертає дані стрічки | Ні | Відкиньте його; не вставляйте, не скорочуйте й не робіть скриншот |
| Посилання зі сторінки налаштувань або токенів | Ви були в автентифікованій зоні, коли копіювали | Вважайте приватним | Замініть на URL профілю |
| Посилання, яке надіслав хтось інший | Невідоме походження | Неперевірене | Відкрийте його, вийшовши з системи, перш ніж довіряти |
Варто чітко назвати два обмеження. По-перше, ця таблиця — редакційна процедура перевірки, а не функція платформи; GitLab не позначає посилання за вас. По-друге, URL, який добре відкривається у вашому власному браузері з активним сеансом, нічого не доводить, бо ваш сеанс може надавати доступ, якого стороння людина не мала б.
Практичний тест, який нічого не розкриває: відкрийте кандидатне посилання в приватному вікні, де ви не ввійшли в систему. Якщо воно просить автентифікації або повертає вміст стрічки, який ви не хотіли б показувати сторонній людині, зупиніться й поверніться на сторінку профілю, щоб скопіювати адресу знову. Не вставляйте невдалий URL у чат, тікет чи публічний допис, щоб його «перевірити».
Крок 2: Замініть його на публічний URL профілю
Коли ви вирішили, що посилання має неправильний тип, заміна — безпечна дія. Наведена послідовність не дає приватному URL потрапити в кожне проміжне місце, де його можна зберегти.
- Закрийте вкладку, що показує стрічку або адресу з токеном, не копіюючи її знову.
- Перейдіть до свого профілю звичайним способом — через інтерфейс сайту, а не через збережену закладку на стрічку.
- Переконайтеся, що це саме той профіль, який ви маєте намір опублікувати, і що його видимість відповідає вашим очікуванням.
- Скопіюйте адресу лише зі сторінки профілю.
- Спершу вставте її в простий текстовий редактор, а не безпосередньо в поле опису, щоб побачити весь рядок, перш ніж він кудись потрапить.
- Перевірте вставлений рядок за таблицею вище. Якщо якась частина виглядає як довгий обліковий дані, а не як ім’я чи шлях, відкиньте його й повторіть з кроку 2.
- Вставте перевірений URL профілю в опис, а потім перегляньте опис так, як його побачить відвідувач без входу в систему.
Крок 5 — не формальність. Поля опису, редактори з форматованим текстом і попередній перегляд посилань можуть зберігати або завантажувати те, що ви вставляєте, а попереднє завантаження URL із токеном — ще одне місце, куди посилання вже потрапило.
Крок 3: Вирішіть, чи має бути видимою сама стрічка
Посилання на профіль і посилання на стрічку — окремі питання. У вас може бути цілком безпечний URL профілю, і все одно вам може бути незручно від того, скільки розкриває ваша активність. Це рішення про видимість, а не про формат посилання, і його слід ухвалити, перш ніж публікувати щось, що скеровує людей до вашого профілю.
Особиста стрічка містить активність із проєктів членства незалежно від вибраної вкладки активності чи фільтра. Джерело
Це важливо для рішення: якщо ви покладаєтеся на вкладку чи фільтр, щоб приховати певну активність, описана вище поведінка стрічки означає, що фільтр не є межею приватності. Вирішіть, чи прийнятна стрічка загалом, а не припускайте, що вужчий перегляд вас захищає.
Якщо ви дійшли висновку, що це неприйнятно, наступний крок — переглянути, що залишається публічно видимим після зміни видимості профілю, а не просто змінити одне налаштування й піти далі. Доречним продовженням є посібник про те, як зробити профіль GitLab приватним і перевірити, що залишається публічним, який розглядає аспект видимості цього рішення.
Якщо посилання вже поширене
Дійте, виходячи з припущення, що все опубліковане публічно могло бути скопійоване, закешоване або проіндексоване, навіть якщо ви видалите це за хвилину. Видалення допису не відкликає копії, які вже зробили інші люди чи автоматизовані системи, і цей посібник не вдаватиме іншого.
Використовуйте власні авторизовані засоби керування токенами й обліковим записом сайту або його канали підтримки, щоб розібратися з розкритими обліковими даними. Точний шлях у меню та доступні варіанти відновлення не встановлені розглянутими тут матеріалами, тож перевірте їх у своєму обліковому записі, а не йдіть за запам’ятованою послідовністю зі старішого інтерфейсу. Не вставляйте розкритий URL у публічний issue, допис у соцмережі з проханням про допомогу чи на сторонній сайт; опишіть проблему, не відтворюючи посилання.
Після того як ви вжили заходів через авторизований шлях, повторно перевірте місця, де ви публікували: поля опису на кожному сайті, підписи, сторінки портфоліо, закріплені дописи та будь-які документи, якими ви поділилися. Замініть кожне входження на URL профілю й занотуйте, які місця ви не змогли відредагувати.
Де доречний пошук за іменем користувача, а де він зупиняється
Якщо вас турбує, наскільки широко ім’я користувача повторно використовується на різних сайтах, пошук за іменем користувача може виявити публічні збіги для перегляду. TraceSeek охоплює 3 000+ платформ і пропонує безкоштовне перше сканування, яке, за даними продукту, триває 20–30 секунд. Це крок для пошуку зачіпок, а не доказ володіння: однакове ім’я користувача на іншому сайті може належати комусь іншому, і пошук не є повним переліком усіх облікових записів.
Чого пошук не може зробити — це сказати вам, чи містить конкретний скопійований URL облікові дані. Це судження походить із перевірки на кроці 1. Тримайте ці два завдання окремо: використовуйте пошук, щоб знайти публічні профілі, варті перегляду, і перевірку типу посилання, щоб вирішити, що безпечно публікувати.
Швидкий контрольний список перед вставленням
- Я скопіював URL зі сторінки свого профілю, а не зі стрічки, налаштувань чи сторінки токенів.
- Повний рядок не містить довгого сегмента, схожого на облікові дані.
- Посилання відкривається як очікувалося в приватному вікні без сеансу.
- Я вставив його в простий текстовий редактор перед полем опису.
- Я переглянув опис так, як його побачить відвідувач без входу в систему.
- Я вирішив, чи прийнятно розкривати стрічку активності загалом.
- Якщо я вже поширював посилання на стрічку, я використав авторизовані засоби керування обліковим записом або підтримку й не публікував посилання повторно.
- Я повторно перевірив кожне місце, де з’являлося старе посилання.
Якщо якийсь пункт не позначено, безпечне замовчування — нічого не публікувати й повернутися на сторінку профілю за новою копією.