Ce que signifie un app password Bluesky et quand vous en avez besoin

Qu'est-ce qu'un app password Bluesky ?

Les clients tiers de Bluesky se connectent avec un app password Bluesky, un identifiant séparé que vous générez dans les paramètres de votre compte et qui vous authentifie tout en portant moins d'autorité que votre véritable mot de passe. La spécification d'AT Protocol décrit elle-même les app passwords comme "a mechanism to reduce security risks when logging in to third-party clients and web applications" ("un mécanisme pour réduire les risques de sécurité lors de la connexion à des clients tiers et à des applications web"), créés et révoqués séparément du mot de passe principal. Générez-en un par outil, pour que révoquer un outil ne perturbe jamais les autres.

La valeur générée prend la forme de quatre groupes de quatre caractères séparés par des tirets, comme 1234-abcd-5678-efgh, selon la même spécification, ce qui permet à un client de détecter le format et d'avertir un utilisateur qui le colle par erreur à la place de son mot de passe principal. Bluesky affiche la valeur une seule fois au moment de la création, alors copiez-la dans l'outil qui en a besoin avant de continuer.

Pourquoi les outils tiers demandent-ils un app password au lieu de votre mot de passe ?

Les outils tiers demandent un app password parce qu'il accorde "slightly restricted permissions to the client application" ("des permissions légèrement restreintes à l'application cliente"), selon les propres termes de la spécification d'AT Protocol, plutôt que l'autorité complète du mot de passe principal. Une session ouverte avec le mot de passe principal peut tout faire sur le compte, tandis qu'une session ouverte avec un app password est explicitement bloquée pour les actions destructrices sur le compte lui-même. Un outil qui insiste pour obtenir votre mot de passe principal au lieu d'un app password demande plus d'accès que ce que le protocole prévoit qu'il ait besoin.

Un app password divulgué reste donc un incident contenu dans la pratique. Quiconque le détient peut agir comme vous dans cette portée restreinte, mais ne peut pas vous retirer le compte, car les opérations au niveau du compte qui le permettraient sont bloquées au niveau du protocole, et non simplement masquées dans l'interface d'un client.

Comment créer un app password Bluesky ?

Créez un app password Bluesky depuis les paramètres de votre compte, dans la section dédiée aux app passwords, en nommant le nouveau mot de passe puis en le générant. Nommez chacun d'après l'outil qui l'utilisera, car une page de paramètres pleine d'entrées sans nom rend plus difficile la révocation de la bonne quelques mois plus tard. Bluesky affiche la valeur générée une seule fois, alors collez-la immédiatement dans l'outil qui l'attend plutôt que de fermer la fenêtre en premier.

Que peut et ne peut pas faire un app password Bluesky ?

Un app password peut se connecter et agir comme le compte pour un usage ordinaire, et ne peut pas effectuer les opérations au niveau du compte que la spécification d'AT Protocol réserve au mot de passe principal.

La spécification est explicite : cette restriction bloque "destructive actions like account [deletion] or changes to authentication settings (including app passwords themselves)" ("les actions destructrices comme la suppression du compte ou les changements des paramètres d'authentification, y compris les app passwords eux-mêmes"), ce qui empêche une intégration compromise d'enfermer le véritable propriétaire hors de son compte.

Comment révoquer un app password Bluesky ?

Révoquez un app password Bluesky depuis la même section des app passwords dans les paramètres du compte, en supprimant l'entrée correspondant à cet identifiant précis. La révocation côté serveur d'AT Protocol supprime un app password par son nom, donc seules les sessions créées avec ce mot de passe cessent de fonctionner, laissant intacts le mot de passe principal et tout autre app password. Révoquez un mot de passe immédiatement après avoir cessé d'utiliser l'outil auquel il appartenait, et en premier si vous soupçonnez qu'il a été divulgué.

Où utiliser un app password Bluesky ?

Utilisez un app password Bluesky partout où vous connectez un bot, un outil de planification, un tableau de bord d'analyse ou un service de surveillance comme la surveillance Bluesky de RedReplier à votre compte. Tout flux qui s'authentifie de façon programmatique plutôt que via l'application ou le site officiel de Bluesky est le bon endroit pour un app password plutôt que pour le mot de passe principal. Mettez en place l'automatisation via le chemin de l'app password dès le début, car l'adapter après coup, une fois qu'un outil a déjà votre mot de passe principal, oblige aussi à faire tourner ce mot de passe principal.

Si vous construisez une automatisation qui doit aussi savoir de quel compte provient une publication, les DID d'AT Protocol couvrent l'identifiant permanent derrière le handle, et les opérateurs de recherche Bluesky couvrent comment interroger les publications une fois authentifié. Lire des publications publiques est une question distincte d'agir en tant que compte : un outil qui se contente d'observer des signaux de social listening sur les publications publiques de Bluesky n'a besoin d'aucun de vos identifiants, tandis qu'un outil qui répond, suit ou publie en votre nom en a besoin.

Questions fréquentes

Puis-je avoir plusieurs app passwords en même temps ?

Oui. Bluesky permet à un compte de détenir plusieurs app passwords à la fois, et la restriction d'AT Protocol sur le changement des paramètres d'authentification s'applique à chacun individuellement, donc un app password ne peut ni révoquer ni modifier un autre.

Un app password expire-t-il automatiquement ?

La spécification d'AT Protocol ne décrit aucune expiration automatique pour les app passwords ; ils restent valides jusqu'à ce que le titulaire du compte les supprime depuis les paramètres. Révoquez manuellement les app passwords inutilisés plutôt que de supposer qu'ils expirent d'eux-mêmes.

Quel format utilise un app password Bluesky ?

Un app password Bluesky prend la forme xxxx-xxxx-xxxx-xxxx, selon la propre spécification d'AT Protocol, ce qui permet à un client de détecter le format et de signaler un utilisateur qui colle par erreur son mot de passe principal dans le mauvais champ.

Un app password peut-il supprimer mon compte Bluesky ?

Non. La spécification d'AT Protocol exclut explicitement les actions destructrices comme la suppression du compte de ce qu'une session d'app password peut faire, réservant cette action à une session créée avec le mot de passe principal du compte.

Devrais-je utiliser un app password pour un bot que j'ai construit moi-même ?

Oui. Un bot que vous avez construit vous-même reste un client tiers du point de vue du compte, et lui donner un app password limite ce qu'un bug ou un identifiant divulgué dans votre propre code peut faire au compte.

Que faire si je pense qu'un app password a été divulgué ?

Supprimez immédiatement cet app password précis depuis les paramètres du compte, puis générez-en un nouveau pour l'outil qui en a besoin. Comme supprimer un app password ne touche ni le mot de passe principal ni les autres app passwords, cela arrête la fuite sans perturber le reste de ce qui est connecté au compte.

Ai-je besoin d'un app password distinct pour chaque outil que je connecte ?

Générer un app password par outil limite une fuite à cette seule intégration. Si vous partagez un app password entre plusieurs outils à la place, le révoquer pour régler une fuite ou un outil abandonné déconnecte aussi tous les autres outils qui l'utilisent.

Révoquer un app password me déconnecte-t-il partout ?

Ce n'est pas le cas. La révocation côté serveur d'AT Protocol supprime un app password par son nom, donc seules les sessions créées avec cet identifiant précis cessent de fonctionner. Le mot de passe principal et chaque autre app password continuent de fonctionner.

Puis-je me connecter à l'application officielle Bluesky avec un app password ?

Les app passwords sont conçus pour les clients tiers, les bots, les outils de planification et les tableaux de bord qui s'authentifient de façon programmatique plutôt que via l'application ou le site officiel de Bluesky. L'automatisation est le bon usage d'un app password, tandis que l'application et le site officiels sont faits pour le mot de passe principal.

Pourquoi nommer chaque app password d'après l'outil qui l'utilise ?

Un app password nommé se retrouve facilement plus tard, alors qu'une page de paramètres remplie d'entrées sans nom rend difficile de savoir laquelle appartient à quel outil. Des noms clairs permettent de révoquer rapidement le bon identifiant des mois plus tard, si un outil précis est abandonné ou compromis.