조만간 Bluesky 도구에서 승인을 요청합니다. 발생하는 방법에는 두 가지가 있습니다. 둘 다 똑같이 안전하지는 않으며 어떤 방법이 제공되는지 이해하는 데 30초의 가치가 있습니다.
앱 비밀번호: 같은 문을 여는 두 번째 열쇠
앱 비밀번호는 설정 → 개인 정보 보호 및 보안 → 앱 비밀번호에서 생성하는 보조 비밀번호입니다. abcd-efgh-ijkl-mnop처럼 보입니다. 실제 비밀번호 대신 도구에 제공합니다.
얻을 수 있는 것:
- 실제 계정 비밀번호를 절대 넘겨주지 않습니다.
- 다른 항목을 변경하지 않고도 단일 앱 비밀번호를 취소할 수 있습니다.
- 각 도구에는 고유한 도구가 있으므로 누구를 잘라야 할지 알 수 있습니다.
얻을 수 없는 것:
- 범위 지정. 앱 비밀번호는 프로필 게시, 팔로우, 언팔로우, 좋아요 등 계정이 할 수 있는 거의 모든 작업을 수행할 수 있습니다. “읽기 전용” 앱 비밀번호는 없습니다. (Bluesky는 직접 메시지 액세스에 대한 옵트인을 추가했으며 그 밖의 모든 항목은 기본적으로 포함됩니다.)
- 만료. 취소할 때까지 유효합니다.
따라서 규칙은 간단합니다. 자신이 게시해도 된다고 믿을 수 있는 항목에만 앱 비밀번호를 붙여넣으세요. 왜냐하면 그것이 바로 귀하가 승인하는 것이기 때문입니다.
OAuth: 당신이 제어할 수 있는 자물쇠가 있는 문
AT 프로토콜에는 이제 적절한 OAuth가 있으며, 이는 새로운 앱이 사용해야 하는 것입니다. 흐름은 모든 “로그인…” 버튼에서 익숙하게 보일 것입니다. 앱이 사용자를 자신의 서버로 보내고 승인하면 다시 로그인됩니다. 앱에는 비밀번호가 전혀 표시되지 않습니다.
실제로 어떤 변화가 있습니까?
- 복사해서 붙여넣을 일이 없습니다. 버튼은 하나입니다.
- 비밀번호가 아닌 토큰. 앱은 만료되고 새로 고쳐지는 토큰을 받습니다. 도난당한 토큰 데이터베이스는 만료되지만 도난당한 앱 비밀번호는 만료되지 않습니다.
- 해지의 의미가 있습니다. 다른 어떤 것도 건드리지 않고도 계정 설정에서 앱을 확인하고 잘라낼 수 있습니다.
- 요청은 키에 바인딩됩니다. 프로토콜은 각 요청을 앱이 보유한 키에 연결하는 DPoP를 사용하므로 전송 중에 가로채는 토큰만으로는 충분하지 않습니다.
Bluesky의 자체 지침은 최종 사용자 로그인이 있는 앱이 OAuth를 사용해야 하며 앱 비밀번호는 봇 및 명령줄 스크립트에서 허용된다는 것입니다. 내년에는 좋은 도구에서 “앱 비밀번호 붙여넣기” 단계가 사라질 것으로 예상됩니다.
접근권한을 철회하는 방법(어느 쪽이든)
- 앱 비밀번호: 설정 → 개인정보 및 보안 → 앱 비밀번호 → 제공한 비밀번호를 삭제하세요. 도구가 즉시 작동을 멈춥니다.
- OAuth: 동일한 설정 영역에 승인된 앱이 나열됩니다. 거기 취소하세요.
도구 사용을 중단하는 순간 이렇게 하십시오. 비용은 들지 않으며 문을 닫습니다.
승인하기 전 간단한 체크리스트
- 무슨 일을 하는지 설명되어 있나요? “팔로우 관리"는 확인할 수 있는 약속입니다. “계정 성장"은 그렇지 않습니다.
- 작성해야 합니까? 그래프만 읽는 분석 대시보드에는 자격 증명이 필요하지 않으며, AT 프로토콜은 다음 그래프를 공개적으로 제공합니다. 읽기 전용 도구에서 비밀번호를 묻는 경우 이유를 물어보세요. (Blue Horizons’ 무료 분석기 는 바로 이러한 이유로 로그인 없이 작동합니다.)
- 자격 증명은 어디에 있습니까? 저장 시 암호화되는 것은 최소 수준입니다. 브라우저 확장 프로그램이나 스프레드시트로 전송된 것은 아니오입니다.
- 한 곳에서 취소할 수 있나요? 답변이 “이메일로 문의"인 경우에는 자리를 떠나세요.
이 도구의 기능
Blue Horizons는 OAuth 경로와 해당 경로만 사용합니다. 앱 비밀번호를 위한 필드는 어디에도 없고 계정 비밀번호를 위한 필드도 없습니다. Bluesky의 자체 화면에서 액세스를 승인하고 Bluesky의 자체 설정에서 이를 철회합니다. 다음 그래프는 공개이므로 무료 분석기에는 자격 증명이 전혀 필요하지 않습니다.
그것은 당신이 믿음을 가져야 하는 주장이 아닙니다. 로그인은 하나의 버튼을 제공하며, 코드는 대체 분기가 없는 단일 OAuth 흐름입니다.
경험 법칙
읽기 전용인가요? 자격 증명이 전혀 필요하지 않습니다. 당신을 대신해 행동하시나요? OAuth를 선호하고, 신뢰할 수 있는 도구에서 앱 비밀번호를 수락하고, 완료되면 취소하세요. 어떠한 경우에도 실제 계정 비밀번호나 합법적인 제3자 Bluesky 도구에서 비밀번호를 요구하지 않습니다.
읽기 전용 도구에 아무것도 필요하지 않은 이유는 다음 그래프는 public입니다. 누구나 자격 증명 없이 상호를 계산할 수 있기 때문입니다. 권한이 필요한 것은 쓰기이며, 속도 제한는 그 비용을 설명합니다.
아무 것도 연결하지 않고 시도해 보세요. 모든 핸들를 분석합니다.