LinkedIn Connected Apps: una guida alla sicurezza e all'accesso

Conosci quel piccolo pulsante “Accedi con LinkedIn”? Quello che hai toccato cento volte perché digitare una nuova password sembrava più sforzo di quanto valesse? Ogni volta che hai cliccato, hai consegnato una chiave al tuo account. Non la tua password, esattamente, ma comunque una chiave. Ed ecco la parte scomoda: la maggior parte di quelle chiavi sono ancora sedute in un cassetto da qualche parte, funzionanti perfettamente, per le app che hai firmato per una volta nel 2021 e mai più aperte.

Non è un motivo per farsi prendere dal panico. È un motivo per passare quindici minuti a fare qualcosa che la maggior parte delle persone non fa mai: guardare l’elenco di tutto ciò che può attualmente toccare il tuo account LinkedIn. La tua lista di app collegate a LinkedIn è una delle pagine più rivelatrici e meno visitate dell’intera vita digitale e una volta che hai capito come leggerla, non guarderai mai più quel pulsante “Accedi con LinkedIn”.

Vediamo cosa sono realmente queste connessioni, come funzionano le autorizzazioni sotto il cofano, come controllare e rimuovere l’accesso e come collegare gli strumenti di cui hai veramente bisogno senza lasciare il tuo account esposto. Alla fine avrai un’abitudine ripetibile che mantiene la tua presenza professionale bloccata senza rallentarti.

Cosa significano le “app connesse” su LinkedIn

Un’app connessa è un servizio di terze parti che hai concesso l’autorizzazione a interagire con il tuo account LinkedIn. Non un servizio che ha rubato l’accesso, e non uno che ha indovinato la tua password: uno che hai esplicitamente sventolato, di solito in un momento in cui eri concentrato su qualcos’altro, come la registrazione a uno strumento di pianificazione o lasciare che un’app di design pubblicasse il tuo feed.

Queste connessioni sono disponibili in due ampi sapori, e dicendo loro a parte le cose.

Collegamenti di accesso. Questo è il classico flusso “Accedi con LinkedIn”. Quando utilizzi LinkedIn come login per un altro sito web, quel sito riceve in genere il tuo nome, la tua foto del profilo, il titolo e l’indirizzo email. Utilizza LinkedIn per verificare che tu sia chi dici di essere, il che ti impedisce di inventare un’altra password. Il compromesso è che questa terza parte ha ora una relazione stabile con la tua identità LinkedIn, e spesso un token che ti consente di verificarti nuovamente ogni volta che torni.

Autorizzazioni di dati e azioni. Questa è la categoria più profonda. Alcune app non si limitano a confermare chi sei; chiedono di leggere le tue connessioni, vedere la tua attività o pubblicare contenuti per tuo conto. Un programmatore di social media, ad esempio, ha bisogno dell’autorizzazione per pubblicare gli aggiornamenti sul tuo profilo o sulla pagina aziendale. Uno strumento di reclutamento potrebbe chiedere di leggere la tua rete. Queste app contengono quello che viene chiamato un token di accesso, una lunga stringa di caratteri che agisce come una password temporanea con ambito per azioni specifiche.

La cosa cruciale da interiorizzare: un’app connessa non ha bisogno della tua password per continuare a funzionare. E’ per design. Funziona su un token, quindi anche se cambi la tua password LinkedIn domani, la maggior parte delle app connesse continua a canticchiare. La modifica della password non revoca l’accesso all’app. Questo sorprende quasi tutti, ed è esattamente il motivo per cui la pagina delle app collegate merita la tua attenzione.

Come funzionano le autorizzazioni OAuth (in inglese)

La tecnologia dietro a tutto questo si chiama OAuth, e non è necessario essere un ingegnere per capire l’idea, perché mappa ordinatamente su qualcosa di fisico: una chiave dell’hotel.

Quando effettui il check-in in un hotel, non consegni alla reception una copia della chiave di casa. Ti danno una carta che apre la tua stanza, forse la piscina, forse la palestra, e nient’altro. Smette di lavorare al checkout. Se lo perdi, puoi ottenerne uno nuovo e l’hotel può disattivarlo immediatamente senza cambiare ogni serratura dell’edificio.

OAuth funziona allo stesso modo. Quando colleghi un’app, LinkedIn emette una scheda chiave, tecnicamente un token, che garantisce un set specifico e limitato di autorizzazioni chiamate ambiti. La scheda di un’app potrebbe aprire solo la porta “leggi il tuo profilo di base”. Un altro potrebbe aprire “leggere il tuo profilo”, “vedere la tua email” e “postare a tuo nome”. L’app non vede mai la tua password effettiva e puoi disattivare la sua scheda in qualsiasi momento senza toccare nient’altro.

Questo è davvero un buon design di sicurezza, ed è per questo che OAuth ha vinto i brutti vecchi tempi quando le app chiedevano il tuo nome utente e la password effettivi. Ma il modello ti protegge solo se capisci due cose al riguardo.

Innanzitutto, gli ambiti sono richiesti dall’app, non scelti da te. Quando si preme quella schermata “Consenti”, l’app ha già deciso cosa vuole. La tua unica vera scelta è sì o no all’intero pacchetto. Quindi la schermata delle autorizzazioni è il singolo momento più importante dell’intera relazione, ed è quello che tutti fanno clic più velocemente. Torneremo a come rallentare in quel momento.

In secondo luogo, i token persistono. La chiave non scade quando si chiude la scheda o anche quando si cambia la password. Continua a funzionare fino a quando l’app non smette di usarlo o la revoca attivamente. Un’app che hai dimenticato circa cinque anni fa potrebbe ancora avere un token valido e funzionante per la tua identità professionale in questo momento.

Perché questo è più importante su LinkedIn che in qualsiasi altro posto

Pensa a cosa è realmente LinkedIn. Non è un posto per le foto delle vacanze. È la tua reputazione professionale, il tuo vero nome collegato al tuo vero datore di lavoro, la tua rete di colleghi e clienti e una linea diretta alle persone che prendono decisioni di assunzione e acquisto. Un account LinkedIn compromesso non è imbarazzante nel modo in cui un account meme violato è; è un canale live per danni.

Ecco il modello realistico di minaccia. Un’app che hai collegato viene violata, o viene venduta, o semplicemente diventa dannosa. Poiché detiene un token di pubblicazione, può improvvisamente pubblicare spam o link di truffa dal tuo account all’intera rete di contatti attendibili. Quei contatti cliccano, perché il messaggio è venuto da te. Una singola connessione stantia diventa un megafono di phishing rivolto esattamente alle persone che si fidano di te.

Anche senza una violazione, le app sovra-permesse sifone tranquillamente i dati. Un’app che richiede l’accesso alle tue connessioni e attività potrebbe creare un profilo della tua rete professionale, dei tuoi interessi e del tuo comportamento, quindi inserirlo in un set di dati di cui non hai mai accettato di far parte. Hai cliccato una volta su “Consenti”; la raccolta dei dati è in corso.

Niente di tutto questo è un motivo per evitare di collegare gli strumenti. Le app connesse sono il modo in cui si ottiene un vero lavoro, dalla pianificazione dei post all’esecuzione di analisi alla gestione della sensibilizzazione. L’obiettivo non è zero connessioni. L’obiettivo sono connessioni intenzionali e l’abitudine di ripulire quelli che non usi più.

Come trovare e rivedere le tue app collegate a LinkedIn

Apriamo il cassetto e vediamo cosa c’è dentro. L’elenco delle app collegate a LinkedIn vive nelle tue impostazioni e l’esatta formulazione delle voci di menu cambia nel tempo, quindi concentrati sui concetti piuttosto che memorizzare un percorso di clic.

Passo uno: apri le tue Impostazioni e Privacy. Fai clic sulla foto del tuo profilo nella navigazione in alto, quindi scegli Impostazioni e Privacy dal menu a discesa. Sul cellulare, tocca la foto e cerca l’attrezzatura per le impostazioni.

Fase due: trovare la sezione Privacy dei dati. Nel menu a sinistra vedrai categorie come preferenze account, accesso e sicurezza, visibilità e privacy dei dati. Le connessioni che stai controllando vivono sotto un paio di titoli correlati. Cerca nella sezione Privacy dei dati per una voce sulla falsariga di “Servizi consentiti” o “Altre applicazioni”, e nella sezione Accedi e sicurezza per qualsiasi cosa su app e dispositivi. LinkedIn divide questi perché distingue tra le app in cui si accede a LinkedIn e le app in cui si è concesso un accesso più approfondito.

Passo tre: leggere lentamente la lista. Questo è dove la maggior parte delle persone si precipita e non impara nulla. Vai app per app e fai tre domande su ciascuno di essi:

• Lo riconosco? Se un nome non significa niente per te, quella è una bandiera. Potrebbe essere un vecchio strumento o un servizio che le etichette bianche sotto il nome di una società madre, ma l’accesso non riconosciuto è l’accesso a cui non puoi ragionare.
• Lo uso ancora? Sii onesto. Lo strumento di pianificazione che hai provato per una settimana due anni fa non ha bisogno di un accesso permanente al tuo account per sempre.
• Cosa può fare? LinkedIn ti mostra le autorizzazioni che ogni app detiene. Nota la differenza tra un’app che conosce solo il tuo profilo di base e una che può pubblicare per tuo conto o leggere la tua rete. I permessi di pubblicazione e lettura sono quelli che meritano un controllo.

Man mano che vai, mantieni un semplice tipo mentale (o scritto): tieni, rimuovi e indaga. Tutto ciò che non si riconosce o non si utilizza va in rimozione. Qualsiasi cosa con permessi pesanti di cui non sei sicuro va a indagare prima di decidere.

Come rimuovere l’accesso in modo sicuro

La rimozione dell’accesso di un’app è semplice ed è l’equivalente digitale della disattivazione della chiave dell’hotel. In ogni app nell’elenco, LinkedIn ti offre un’opzione Rimuovi o Revoca. Cliccalo, conferma e il token muore. L’app non può più leggere i tuoi dati o postare per tuo conto, con effetto immediato.

Alcune cose che vale la pena sapere prima di andare su una spree revocante.

La revoca non elimina i dati che l’app ha già raccolto. Tagliare l’accesso futuro è importante, ma non arriva indietro. Un’app che ha già estratto l’elenco di connessione ha ancora quella copia. Se sei preoccupato per i dati raccolti da un’app, la revoca dell’accesso è il primo passo; il secondo passaggio è andare direttamente a quell’app e richiedere la cancellazione dei tuoi dati, che molti servizi sono legalmente tenuti a onorare.

Ma prima di tutto, revoca sempre. Tagliare il flusso continuo di nuovi dati è più importante.

La revoca di una connessione di accesso potrebbe bloccarti da quell’altro servizio. Se hai usato “Accedi con LinkedIn” come unico modo per accedere a un altro sito Web, la rimozione della connessione può lasciarti in grado di accedere lì. Prima di revocare un link di accesso puro, assicurati di non preoccuparti più di quell’account o di aver impostato un accesso alternativo, come una combinazione di e-mail e password, su quel servizio prima.

Nel dubbio, toglietelo. La ri-autorizzazione di un’app che ti serve richiede circa trenta secondi; accedi di nuovo e fai clic su Consenti. Questo è un costo molto più piccolo che lasciare una porta dimenticata sbloccata per anni. Lean verso la rimozione, perché il lato negativo di rimuovere qualcosa di cui hai bisogno è banale e il lato negativo di mantenere qualcosa di pericoloso non lo è.

Come collegare nuovi strumenti senza pentirsene

Ora l’altro lato della medaglia. Connetterai le app e dovresti. Gli strumenti legittimi ti rendono drammaticamente più efficace. L’abilità è collegarli deliberatamente. Ecco una lista di controllo per quel momento critico “Consenti”.

Leggi la schermata delle autorizzazioni. Questo è l’intero gioco di palla. Prima di fare clic su Consenti, leggi cosa sta chiedendo l’app. Uno strumento di pianificazione di LinkedIn che chiede di pubblicare per tuo conto ha senso. Lo stesso strumento che chiede di leggere la tua lista completa di connessioni e i tuoi messaggi privati dovrebbe farti mettere in pausa e chiederti perché ne ha bisogno per pianificare un post. Se le autorizzazioni sono molto più ampie rispetto allo scopo dichiarato dell’app, tale disallineamento è il segnale di avvertimento.

Controlla lo strumento prima di connetterti, non dopo. Prenditi trenta secondi per confermare che l’app è reale e affidabile. È un’azienda conosciuta? Ha un sito web reale, una politica sulla privacy reperibile e una presenza di supporto? Ci sono recensioni di utenti reali? Uno strumento che gestisce la tua identità professionale dovrebbe cancellare una barra più alta di un gioco casuale che ti collegheresti a un account throthaay.

Preferire gli strumenti che spiegano le loro autorizzazioni. Gli strumenti meglio progettati ti dicono, in un linguaggio semplice, esattamente perché hanno bisogno di ogni autorizzazione prima di colpire la schermata di autorizzazione di LinkedIn. Questa trasparenza è di per sé un segnale di qualità. Uno strumento che è cauto su ciò a cui accede è dirti qualcosa.

Connettiti dalla fonte, non da un collegamento. Avviare la connessione dall’interno dello strumento che si sta deliberatamente configurando, o da LinkedIn stesso, mai da un link in un’e-mail o un messaggio inaspettato. Un falso prompt “riconnettere il tuo LinkedIn” è una classica mossa di phishing. Se ricevi una richiesta out-of-the-blue per ri-autorizzare un’app, non fare clic su di essa; vai direttamente a quell’app e avvia tu stesso la connessione.

Questo tipo di connessione deliberata è esattamente come dovrebbe sentirsi una buona configurazione di pianificazione. Quando colleghi una piattaforma di gestione dei social media a LinkedIn, stai concedendo l’accesso alla pubblicazione in modo che possa pubblicare sul tuo programma e l’accesso alle analisi in modo che possa riportare ciò che ha funzionato. Questo è un commercio equo e comprensibile per le ore che ti risparmia. Se stai costruendo un vero e proprio flusso di lavoro di pubblicazione, la nostra guida su come programmare i post sui social media passa attraverso il farlo in modo sicuro su ogni rete, e associando questo con un modello di calendario per i social media mantiene l’intera operazione organizzata piuttosto che caotica.

Privacy best practice che vanno oltre l’elenco delle app

Controllare le tue app collegate a LinkedIn è l’atto principale, ma alcune abitudini circostanti rendono il tutto molto più duraturo.

Attiva l’autenticazione a due fattori. Questa è la singola mossa di sicurezza con le più alte leverage su qualsiasi account. Con due fattori accesi, anche chi ruba la password non può entrare senza il secondo codice. Non fermerà un’app collegata in modo canaglia, ma sbatte la porta principale sull’attacco più comune: una password rubata o riutilizzata. Fallo oggi, se non l’hai fatto.

Audit su un programma, non su una paura. La maggior parte delle persone controlla le loro app collegate solo dopo aver letto un titolo su una violazione. – Giralo. Inserisci un promemoria ricorrente sul tuo calendario, trimestrale è un sacco per la maggior parte delle persone, per aprire l’elenco ed eseguire il mantenere-rimuovere-indagare ordinamento. Quindici minuti, quattro volte l’anno, e la tua identità professionale rimane pulita.

Corrispondere le autorizzazioni all’uso effettivo. Il principio di sicurezza che la gente chiama “meno privilegio” è solo il buon senso sotto mentite spoglie: un’app dovrebbe avere il minimo accesso di cui ha bisogno per fare il suo lavoro, e niente di più. Se uno strumento ha solo bisogno di conoscere il tuo profilo di base, non dovrebbe detenere diritti di pubblicazione. Quando non è possibile controllare gli ambiti di una richiesta di app, è possibile rifiutare almeno quelli che si sovrappongono rifiutando di connettersi.

Attenzione ai segni di una connessione compromessa. Messaggi che non hai scritto, richieste di connessione che non hai inviato, messaggi che escono sotto il tuo nome, modifiche del profilo che non hai fatto. Ognuno di questi mezzi un app o una sessione è andato canaglia. Se li vedi, revoca tutto ciò di cui non hai assolutamente bisogno, cambia la password, conferma che sono attivi due fattori e controlla le sessioni attive sotto Accedi e sicurezza per disconnettere qualsiasi dispositivo che non riconosci.

Separare gli esperimenti personali dalla tua identità principale. Se ami provare nuovi strumenti, tieni presente che ogni prova è una nuova chiave distribuita. Non c’è niente di sbagliato nello sperimentare; ricordati solo di revocare l’accesso quando la prova finisce, allo stesso modo in cui restituiresti un’auto a noleggio invece di tenerla parcheggiata nel tuo vialetto a tempo indeterminato.

Le tue app connesse di 15 minuti iniziano a finire

Leghiamolo a una routine che puoi effettivamente eseguire. Ecco tutto come un flusso di lavoro che si potrebbe fare nel momento in cui si finisce di leggere.

Apri la lista. Vai su Impostazioni e Privacy, quindi su Privacy dei dati e Accedi e sicurezza e attiva sia i servizi consentiti che le connessioni di accesso.

Ordina ogni app. Mantenere, rimuovere o indagare, usando le tre domande: Lo riconosco? Lo uso? Cosa può fare? Sii spietato con qualsiasi cosa non riconosciuta o non utilizzata.

Rimuovete le rimozioni. Cliccare attraverso e tagliare l’accesso su tutto nel vostro mucchio di rimozione. Per connessioni di accesso pure, conferma di avere un altro modo per accedere a quel servizio prima.

Indagare sui forse. Per le app pesantemente autorizzate di cui non sei sicuro, cerca l’azienda, trova la sua politica sulla privacy e decidi. Quando veramente strappato, rimuovere e aggiungere di nuovo in seguito, se necessario.

Chiudi le porte dietro di te. Conferma che l’autenticazione a due fattori è attiva, controlla le sessioni attive e esci da qualcosa di sconosciuto.

Imposta il promemoria ricorrente. Metti un audit trimestrale sul tuo calendario in modo che questo non diventi mai più un panico una volta-in-a-blue-moon.

Tutto qui. Sei passato dall’avere idea di cosa possa toccare la tua LinkedIn conto di sapere esattamente cosa è collegato, perché e come cambiarlo. Per il quadro più ampio di gestione di una presenza sociale stretta, sicura, a basso stress, il nostro consigli per la gestione dei social media Portare queste abitudini in una routine completa.

La pagina delle app connesse non sarà mai la schermata più eccitante su LinkedIn. Ma potrebbe essere la più importante che non stavi guardando. Quindici minuti ora ti acquistano un’identità professionale che rimane tua, connessa solo agli strumenti che hai scelto. E’ un commercio che vale la pena fare, in questo trimestre e dopo.