Personal Access Tokenを安全に扱う

結論

Personal Access Tokenは、パスワードに近い秘密情報として扱います。チャット、ログ、ファイルに残った可能性がある場合は、使用後に必ず無効化してください。

対象

この記事は、通常ルームでGitHubなどの外部サービスへ接続する利用者、認証情報の扱いを案内する管理者に向けたヘルプです。

基本方針

可能であれば、トークンをチャットに貼り付けない認証方法を使います。外部サービスがワンタイムコード方式やブラウザ認証を提供している場合は、そちらを優先してください。

トークンを使う必要がある場合は、用途に必要な最小限の権限だけを付け、短い期間だけ使う運用にします。

チャットやログに貼り付けた場合

トークンをチャット、コマンド履歴、ログ、ファイルに貼り付けた場合、そのトークンは漏えいした前提で扱います。

使用後は、発行元サービスの設定画面でトークンを削除または無効化してください。必要であれば、新しいトークンを発行し直します。

共有してはいけない情報

次の情報は、チャットやヘルプ依頼に貼り付けないでください。

• Personal Access Token
• APIキー
• パスワード
• 認証コード
• 秘密鍵
• セッションCookie

認証で困った場合は、トークンそのものではなく、接続したいサービス名、権限の種類、表示されたエラーの概要を共有してください。