Tôt ou tard, un outil Bluesky vous demande de l’autoriser. Cela peut se produire de deux manières, elles ne sont pas également sûres et cela vaut la peine de trente secondes pour comprendre laquelle vous est proposée.
Mots de passe d’application : une deuxième clé pour la même porte
Un mot de passe d’application est un mot de passe secondaire que vous générez dans **Paramètres → Confidentialité et sécurité → Mots de passe d’application **. Cela ressemble à abcd-efgh-ijkl-mnop. Vous le donnez à un outil au lieu de votre vrai mot de passe.
Ce que cela vous apporte :
- Vous ne communiquez jamais le mot de passe de votre compte réel.
- Vous pouvez révoquer un seul mot de passe d’application sans rien changer d’autre.
- Chaque outil peut avoir le sien, vous savez donc qui couper.
Ce que cela ne vous apporte pas :
- Portée. Un mot de passe d’application peut faire presque tout ce que votre compte peut : publier, suivre, ne plus suivre, aimer, modifier votre profil. Il n’y a pas de mot de passe d’application « en lecture seule ». (Bluesky a ajouté une option d’adhésion pour l’accès aux messages directs ; tout le reste est inclus par défaut.)
- Expiration. Cela fonctionne jusqu’à ce que vous le révoquiez.
La règle est donc simple : collez uniquement un mot de passe d’application dans quelque chose que vous auriez confiance pour publier sous votre nom, car c’est exactement ce que vous autorisez.
OAuth : la porte avec une serrure que vous contrôlez
Le protocole AT a désormais le OAuth approprié, et c’est ce que les nouvelles applications devraient utiliser. Le flux vous semblera familier à partir de chaque bouton « Connectez-vous avec… » : l’application vous envoie à votre propre serveur, vous approuvez, vous revenez connecté. L’application ne voit jamais de mot de passe du tout.
Ce qui change dans la pratique :
- Rien à copier et coller. Un seul bouton.
- Des jetons, pas des mots de passe. L’application obtient un jeton qui expire et est actualisé ; une base de données volée de jetons vieillit, un mot de passe d’application volé ne vieillit pas.
- Une révocation qui veut dire quelque chose. Vous pouvez voir l’application dans les paramètres de votre compte et la couper, sans rien toucher d’autre.
- Les requêtes sont liées à une clé. Le protocole utilise DPoP, qui lie chaque requête à une clé détenue par l’application, donc un jeton intercepté en transit ne suffit pas à lui seul.
Les propres conseils de Bluesky sont que les applications avec une connexion d’utilisateur final doivent utiliser OAuth et que les mots de passe d’application restent acceptables pour les robots et les scripts de ligne de commande. Attendez-vous à ce que l’étape « Coller le mot de passe d’une application » disparaisse des bons outils au cours de l’année prochaine.
Comment révoquer l’accès, dans tous les cas
- Mot de passe de l’application : Paramètres → Confidentialité et sécurité → Mots de passe de l’application → supprimez celui que vous avez donné. L’outil cesse de fonctionner immédiatement.
- OAuth : la même zone de paramètres répertorie les applications autorisées ; révoquer là.
Faites-le dès que vous arrêtez d’utiliser un outil. Cela ne coûte rien et ferme une porte.
Une courte liste de contrôle avant d’autoriser quoi que ce soit
- Est-ce que cela explique ce qu’il fera ? “Gérer vos abonnements” est une promesse que vous pouvez vérifier. “Développez votre compte” ne l’est pas.
- A-t-il besoin d’écrire ? Un tableau de bord d’analyse qui lit uniquement votre graphique n’a besoin d’aucune information d’identification, le protocole AT sert le graphique suivant publiquement. Si un outil en lecture seule demande un mot de passe, demandez pourquoi. (Blue Horizons’ analyseur gratuit fonctionne sans connexion exactement pour cette raison.)
- Où se trouvent les informations d’identification ? Le chiffrement au repos est le minimum. Envoyé à une extension de navigateur ou à une feuille de calcul est un non.
- Pouvez-vous le révoquer en un seul endroit ? Si la réponse est « envoyez-nous un e-mail », éloignez-vous.
Que fait cet outil
Blue Horizons emprunte le chemin OAuth et uniquement celui-là. Il n’y a aucun champ pour un mot de passe d’application, ni aucun champ pour le mot de passe de votre compte : vous autorisez l’accès sur le propre écran de Bluesky et vous le retirez des propres paramètres de Bluesky. L’analyseur gratuit n’a besoin d’aucune information d’identification, car le graphique suivant est public.
Ce n’est pas une affirmation que vous devez assumer avec foi. La connexion propose un seul bouton, et si vous êtes curieux, le code est un seul flux OAuth sans branche alternative.
La règle générale
En lecture seule ? Aucun titre ne devrait être nécessaire. Agir en votre nom ? Préférez OAuth, acceptez un mot de passe d’application provenant d’un outil de confiance et révoquez-le lorsque vous avez terminé. Jamais, en aucune circonstance, le mot de passe de votre compte réel, aucun outil tiers légitime Bluesky ne vous le demandera jamais.
La raison pour laquelle un outil en lecture seule n’a besoin de rien du tout est que le graphique suivant est public : n’importe qui peut calculer vos abonnements réciproques sans informations d’identification. Ce qui nécessite une autorisation, c’est l’écriture, et les limites de taux expliquent ce que cela coûte.
Essayez-le sans rien connecter : analysez n’importe quel handle.