アプリのパスワードと「Blueskyでサインイン」について説明

遅かれ早かれ、Bluesky ツールは承認を求めてきます。発生する方法は 2 つあり、どちらも同じように安全というわけではありません。どちらが提供されているかを理解するには 30 秒の価値があります。

アプリのパスワード: 同じドアへの 2 番目の鍵

アプリパスワードは、[設定] → [プライバシーとセキュリティ] → [アプリパスワード] で生成する 2 番目のパスワードです。 abcd-efgh-ijkl-mnop のようです。実際のパスワードの代わりにツールにパスワードを与えます。

得られるもの:

実際のアカウントのパスワードを決して渡すことはありません。
他の何も変更せずに、単一のアプリパスワードを取り消すことができます。
各ツールには独自のツールを設定できるため、誰を切断すべきかがわかります。

得られないもの:

スコープ。 アプリパスワードは、投稿、フォロー、フォロー解除、いいね、プロフィールの編集など、アカウントで実行できるほぼすべてのことを実行できます。「読み取り専用」のアプリパスワードはありません。 (Bluesky はダイレクトメッセージアクセスのオプトインを追加しました。その他はすべてデフォルトで含まれます。)
有効期限 取り消すまで機能します。

したがって、ルールは簡単です。アプリのパスワードは、あなたが投稿できると信頼できるものにのみ貼り付けてください。それはまさにあなたが承認しているものだからです。

OAuth: あなたが制御するロック付きのドア

AT プロトコルには適切な OAuth があり、新しいアプリではこれを使用する必要があります。このフローは、すべての [Sign in with…] ボタンから見慣れたものになります。アプリはユーザーを独自のサーバーに送信し、ユーザーが承認し、サインインに戻ります。アプリではパスワードがまったく表示されません。

実際の変更点:

コピーして貼り付ける必要はありません。 ボタンは 1 つだけです。
パスワードではなくトークン。 アプリは有効期限が切れて更新されるトークンを取得します。盗まれたトークンのデータベースは期限切れになりますが、盗まれたアプリのパスワードは期限切れになりません。
意味のある取り消し。 アカウント設定でアプリを確認し、他には何も触れずに削除できます。
リクエストはキーにバインドされます。 このプロトコルは DPoP を使用し、各リクエストをアプリが保持するキーに結び付けるため、転送中にインターセプトされたトークンだけでは十分ではありません。

Bluesky 独自のガイダンスでは、エンドユーザーログインを使用するアプリでは OAuth を使用する必要があり、アプリのパスワードはボットやコマンドラインスクリプトで引き続き受け入れられるとしています。「アプリのパスワードを貼り付ける」ステップは、今後 1 年以内に優れたツールから消えることが予想されます。

アクセスを取り消す方法 (いずれかの方法)

アプリパスワード: [設定] → [プライバシーとセキュリティ] → [アプリパスワード] → 配布したパスワードを削除します。ツールはすぐに動作を停止します。
OAuth: 同じ設定エリアに、承認されたアプリがリストされます。そこで取り消します。

ツールの使用をやめた瞬間にこれを行ってください。費用はかからず、ドアが閉まります。

何かを承認する前の短いチェックリスト

それが何をするのか説明されていますか? 「フォローを管理する」は確認できる約束です。「アカウントを成長させる」ではありません。
書き込みは必要ありますか? グラフを読み取るだけの分析ダッシュボードには資格情報は必要ありません。AT プロトコルは次のグラフを公開します。読み取り専用ツールがパスワードを要求する場合は、その理由を尋ねてください。 (Blue Horizons’ 無料アナライザーは、まさにこの理由により、ログインなしでも機能します。)
認証情報はどこに保存されますか? 保存時に暗号化することが最低限必要です。ブラウザ拡張機能またはスプレッドシートに送信するのは「いいえ」です。
1 か所で取り消していただけますか? 答えが「メールでご連絡ください」の場合は、そのままにしてください。

このツールの機能

Blue Horizons は、OAuth パスのみを選択します。アプリパスワードのフィールドはどこにもなく、アカウントパスワードのフィールドもありません。Bluesky 自身の画面でアクセスを承認し、Bluesky 自身の設定からアクセスを取り消します。以下のグラフは公開されているため、無料のアナライザーには資格情報はまったく必要ありません。

それは信仰を持って受け入れなければならない主張ではありません。サインインには 1 つのボタンが表示されます。興味があれば、コードは代替分岐のない単一の OAuth フローです。

経験則

読み取り専用ですか？資格情報はまったく必要ありません。あなたに代わって行動しますか？ OAuth を優先し、信頼できるツールからアプリのパスワードを受け入れ、完了したらパスワードを取り消します。いかなる状況でも、実際のアカウントのパスワードや、正規のサードパーティの Bluesky ツールがパスワードを要求することはありません。

読み取り専用ツールがまったく必要ない理由は、次のグラフは public です。誰でも資格情報なしで相互計算を行うことができるからです。許可が必要なのは書き込みであり、レート制限にかかる費用について説明しています。

何も接続せずに試してください: ハンドルを分析します。