LinkedIn Connected Apps: Um Guia de Segurança e Acesso

Sabe aquele botão “Iniciar sessão com o LinkedIn”? Aquele que você bateu cem vezes porque digitar uma nova senha parecia mais esforço do que valeu a pena? Toda vez que você clicava, você entregava a um estranho uma chave para sua conta. Não é a sua senha, mas uma chave. E aqui está a parte desconfortável: a maioria dessas chaves ainda está sentada em uma gaveta em algum lugar, funcionando perfeitamente, para aplicativos que você se inscreveu uma vez em 2021 e nunca mais abriu.

Não é motivo para pânico. É uma razão para gastar quinze minutos fazendo algo que a maioria das pessoas nunca faz: olhar para a lista de tudo o que pode tocar seu corpo. LinkedIn Conta. O teu LinkedIn apps conectados A lista é uma das páginas mais reveladoras e menos visitadas em toda a sua vida digital, e uma vez que você entenda como lê-la, você nunca verá que “Entrar com o seu computador e com o seu computador, você nunca vai ver o que você está lendo”. LinkedIn”botão da mesma maneira novamente.

Vamos percorrer o que essas conexões realmente são, como as permissões funcionam sob o capô, como auditar e remover o acesso e como conectar as ferramentas que você realmente precisa sem deixar sua conta exposta. No final, você terá um hábito repetível que mantém sua presença profissional trancada sem atrasá-lo.

O que “aplicativos conectados” realmente significa no LinkedIn

Um aplicativo conectado é qualquer serviço de terceiros que você concedeu permissão para interagir com sua conta do LinkedIn. Não um serviço que roubou o acesso, e não um que adivinhou sua senha: um que você acenou explicitamente, geralmente em um momento em que você estava focado em outra coisa, como se inscrever para uma ferramenta de agendamento ou deixar um aplicativo de design postar em seu feed.

Estas conexões vêm em dois sabores amplos, e dizendo-lhes assuntos separados.

Ligações de início de sessão. Este é o fluxo clássico “Iniciar sessão com o LinkedIn”. Quando você usa o LinkedIn como seu login para outro site, esse site normalmente recebe seu nome, foto do perfil, título e endereço de e-mail. Ele usa o LinkedIn para verificar se você é quem você diz que é, o que o salva de inventar mais uma senha. A diferença é que este terceiro agora tem um relacionamento permanente com sua identidade do LinkedIn e, muitas vezes, um token que permite que ele o verifique sempre que você retornar.

Permissões de dados e ações. Esta é a categoria mais profunda. Alguns aplicativos não apenas confirmam quem você é; eles pedem para ler suas conexões, ver sua atividade ou publicar conteúdo em seu nome. Um agendador de mídia social, por exemplo, precisa de permissão para publicar atualizações em seu perfil ou página da empresa. Uma ferramenta de recrutamento pode pedir para ler sua rede. Esses aplicativos possuem o que é chamado de token de acesso, uma longa série de caracteres que age como uma senha temporária definida para ações específicas.

A coisa crucial a internalizar: um aplicativo conectado não precisa de sua senha para continuar trabalhando. Isso é por design. Ele opera em um token, então mesmo que você altere sua senha do LinkedIn amanhã, a maioria dos aplicativos conectados continua zumbindo intocada. Alterar sua senha não revoga o acesso ao aplicativo. Isso surpreende quase todos, e é exatamente por isso que a página de aplicativos conectados merece sua atenção.

Como as permissões OAuth realmente funcionam (em inglês simples)

A tecnologia por trás de tudo isso é chamada OAuth, e você não precisa ser um engenheiro para entender a ideia, porque ela mapeia perfeitamente algo físico: um cartão-chave do hotel.

Quando você faz check-in em um hotel, você não entrega à recepção uma cópia da chave da sua casa. Eles dão-lhe um cartão que abre o seu quarto, talvez a piscina, talvez o ginásio, e nada mais. Ele pára de trabalhar no checkout. Você pode obter um novo se você perdê-lo, e o hotel pode desativá-lo instantaneamente sem alterar cada fechadura no edifício.

O OAuth funciona da mesma maneira. Quando você conecta um aplicativo, o LinkedIn emite um cartão-chave, tecnicamente um token, que concede um conjunto específico e limitado de permissões chamadas escopos. O cartão de um app pode abrir apenas a porta “leia seu perfil básico”. Outra pessoa pode abrir “leia seu perfil”, “veja seu e-mail” e “publice em seu nome”. O aplicativo nunca vê sua senha real, e você pode desativar seu cartão a qualquer momento sem tocar em mais nada.

Este é um design de segurança genuinamente bom, e é por isso que OAuth ganhou nos velhos tempos ruins quando os aplicativos pediram seu nome de usuário e senha reais. Mas o modelo só protege você se você entender duas coisas sobre isso.

Primeiro, os escopos são solicitados pelo aplicativo, não escolhidos por você. Quando você clica na tela “Permitir”, o aplicativo já decidiu o que quer. A sua única escolha real é sim ou não para todo o pacote. Então, a tela de permissão é o momento mais importante em todo o relacionamento, e é o único que todos clicam mais rápido. Vamos voltar a como desacelerar exatamente nesse momento.

Em segundo lugar, os tokens persistem. Esse cartão-chave não expira quando você fecha a guia ou mesmo quando você altera sua senha. Ele continua funcionando até que o aplicativo pare de usá-lo ou você o revogue ativamente. Um aplicativo que você esqueceu há cerca de cinco anos ainda pode estar segurando um token válido e funcional para sua identidade profissional agora.

Por que isso importa mais no LinkedIn do que em qualquer outro lugar

Pense no que o LinkedIn realmente é. Não é um lugar para fotos de férias. É a sua reputação profissional, o seu nome real ligado ao seu empregador real, sua rede de colegas e clientes e uma linha direta para as pessoas que tomam decisões de contratação e compra. Uma conta comprometida do LinkedIn não é embaraçosa na forma como uma conta de meme hackeada é; é um canal ao vivo para danos.

Aqui está o modelo de ameaça realista. Um aplicativo conectado é violado, ou vendido, ou simplesmente se torna malicioso. Porque ele detém um token de postagem, ele pode de repente publicar spam ou links fraudulentos de sua conta para toda a sua rede de contatos confiáveis. Esses contatos clicam, porque a mensagem veio de você. Uma única conexão obsoleta torna-se um megafone de phishing destinado exatamente às pessoas que mais confiam em você.

Mesmo sem uma violação, aplicativos com excesso de permissão silenciosamente desviam dados. Um aplicativo que solicitou acesso às suas conexões e atividades pode estar construindo um perfil de sua rede profissional, seus interesses e seu comportamento, em seguida, empacotando isso em um conjunto de dados que você nunca concordou em fazer parte. Você clicou em “Permitir” uma vez; a coleta de dados está em andamento.

Nada disso é motivo para evitar a conexão de ferramentas. Aplicativos conectados são como você faz o trabalho real, desde agendar postagens até executar análises e gerenciar o alcance. O objetivo não é zero conexões. O objetivo é conexões intencionais e o hábito de limpar as que você não usa mais.

Como encontrar e rever seus aplicativos conectados ao LinkedIn

Vamos abrir a gaveta e ver o que está dentro. Sua lista de aplicativos conectados do LinkedIn vive em suas Configurações, e a redação exata dos itens do menu muda ao longo do tempo, então concentre-se nos conceitos em vez de memorizar um caminho de clique.

Primeiro passo: abra suas Configurações e Privacidade. Clique na foto do seu perfil na navegação superior e escolha Configurações e Privacidade no menu suspenso. No celular, toque na foto e procure o equipamento de configurações.

Passo dois: encontrar a seção Privacidade de dados. No menu à esquerda, você verá categorias como Preferências de conta, Login e segurança, Visibilidade e privacidade de dados. As conexões que você está auditando ao vivo sob alguns títulos relacionados. Procure em Privacidade de dados para uma entrada ao longo das linhas de “Serviços Permitidos” ou “Outras aplicações”, e em Inscreva-se e segurança para qualquer coisa sobre aplicativos e dispositivos. O LinkedIn divide estes porque distingue entre aplicativos que você usa o LinkedIn para entrar e aplicativos que você concedeu acesso mais profundo.

Passo três: leia a lista lentamente. É aqui que a maioria das pessoas se apressa e não aprende nada. Vá pelo aplicativo e faça três perguntas sobre cada uma:

• Eu reconheço isso? Se um nome não significa nada para você, isso é uma bandeira. Pode ser uma ferramenta antiga, ou um serviço que white-labels sob o nome de uma empresa-mãe, mas o acesso não reconhecido é o acesso que você não pode raciocinar.
• Ainda o uso? Seja honesto. A ferramenta de agendamento que você tentou há uma semana dois anos atrás não precisa de acesso permanente à sua conta para sempre.
• O que pode fazer? O LinkedIn mostra as permissões que cada aplicativo possui. Observe a diferença entre um aplicativo que só conhece seu perfil básico e um que pode postar em seu nome ou ler sua rede. As permissões de postagem e leitura são as que merecem escrutínio.

Enquanto você vai, mantenha um tipo mental (ou escrito) simples: mantenha, remova e investigue. Qualquer coisa que você não reconhece ou não usa é removida. Qualquer coisa com permissões pesadas que você não tem certeza vai investigar antes de decidir.

Como remover o acesso com segurança

A remoção do acesso de um aplicativo é simples e refrescante, e é o equivalente digital de desativar o cartão-chave do hotel. Em cada aplicativo da lista, o LinkedIn oferece uma opção Remover ou Revogar. Clique nele, confirme e o token morre. O aplicativo não pode mais ler seus dados ou postar em seu nome, com efeito imediato.

Algumas coisas que vale a pena saber antes de você ir em uma onda de revogação.

A revogação não exclui os dados que o aplicativo já coletou. Cortar o acesso futuro é importante, mas não chega atrás. Um aplicativo que já puxou sua lista de conexão ainda tem essa cópia. Se você está preocupado com os dados que um aplicativo reuniu, revogar o acesso é o primeiro passo; o segundo passo é ir diretamente para esse aplicativo e solicitar a exclusão de seus dados, que muitos serviços são legalmente obrigados a honrar.

Mesmo assim, sempre revogue primeiro. Cortar o fluxo contínuo de novos dados é mais importante.

A revogação de uma conexão de login pode bloquear você para fora desse outro serviço. Se você usou “Iniciar sessão com o LinkedIn” como seu único caminho para outro site, remover a conexão pode deixar você incapaz de fazer login lá. Antes de revogar um link de login puro, certifique-se de não se importar mais com essa conta ou configure um login alternativo, como uma combinação de e-mail e senha, nesse serviço primeiro.

Em caso de dúvida, remova-o. Reautorizar um aplicativo que você realmente precisa leva cerca de trinta segundos; você simplesmente entrar novamente e clique em Permitir. Isso é um custo muito menor do que deixar uma porta esquecida destravada por anos. Lean para remoção, porque a desvantagem de remover algo que você precisava é trivial e a desvantagem de manter algo perigoso não é.

Como conectar novas ferramentas sem se arrepender

Agora o outro lado da moeda. Você vai conectar aplicativos, e você deve. Ferramentas legítimas tornam você dramaticamente mais eficaz. A habilidade está conectando-os deliberadamente. Aqui está uma lista de verificação para aquele momento crítico de “Permitir”.

Na verdade, leia a tela de permissão. Este é o jogo de bola inteiro. Antes de clicar em Permitir, leia o que o aplicativo está pedindo. Uma ferramenta de agendamento do LinkedIn pedindo para postar em seu nome faz sentido. Essa mesma ferramenta que pede para ler sua lista completa de conexões e suas mensagens privadas deve fazer você parar e se perguntar por que precisa disso para agendar um post. Se as permissões forem muito mais amplas do que o propósito declarado do aplicativo, essa incompatibilidade é seu sinal de alerta.

Vete a ferramenta antes de te ligares, não depois. Leve trinta segundos para confirmar se o aplicativo é real e respeitável. É uma empresa conhecida? Tem um site real, uma política de privacidade que pode ser encontrada e uma presença de suporte? Há avaliações de usuários reais? Uma ferramenta que gerencia sua identidade profissional deve limpar uma barra maior do que um jogo aleatório que você vincularia a uma conta do throwaay.

Prefira ferramentas que expliquem suas permissões. As ferramentas mais bem projetadas dizem a você, em linguagem simples, exatamente por que elas precisam de cada permissão antes de você clicar na tela de autorização do LinkedIn. Essa transparência é, em si, um sinal de qualidade. Uma ferramenta que é cagey sobre o que ele acessa está dizendo algo para você.

Conecte-se a partir da fonte, não de um link. Inicie a conexão de dentro da ferramenta que você está deliberadamente configurando, ou do próprio LinkedIn, nunca de um link em um e-mail ou mensagem inesperada. Um prompt falso de “reconecte seu LinkedIn” é um movimento clássico de phishing. Se você receber um pedido fora do azul para reautorizar um aplicativo, não clique nele; vá diretamente para esse aplicativo e inicie a conexão você mesmo.

Este tipo de conexão deliberada é exatamente como uma boa configuração de agendamento deve se sentir. Quando você conecta uma plataforma de gerenciamento de mídia social a LinkedIn, você está concedendo-lhe o acesso de postagem para que ele possa publicar em sua programação e acesso de análise para que ele possa relatar o que funcionou. É um comércio justo e compreensível pelas horas que poupa. Se você está construindo um fluxo de trabalho de postagem real, nosso guia sobre Como agendar posts nas redes sociais faz isso com segurança em todas as redes, e emparelhando isso com uma modelo de calendário de mídia social Toda a operação é organizada, em vez de caótica.

Melhores práticas de privacidade que vão além da lista de aplicativos

Auditar seus aplicativos conectados ao LinkedIn é o ato principal, mas alguns hábitos ao redor tornam a coisa toda muito mais durável.

Ative a autenticação de dois fatores. Este é o movimento de segurança de maior alavancagem em qualquer conta. Com dois fatores ativados, mesmo alguém que rouba sua senha não pode entrar sem o segundo código. Não vai parar um aplicativo conectado desonesto, mas bate a porta da frente no ataque mais comum: uma senha roubada ou reutilizada. Faça isso hoje se não tiver feito.

Auditoria em um cronograma, não em um susto. A maioria das pessoas só verifica seus aplicativos conectados depois de ler um título sobre uma violação. Vira isso. Coloque um lembrete recorrente em seu calendário, trimestralmente é suficiente para a maioria das pessoas, para abrir a lista e executar o tipo de manter-remover-investigar. Quinze minutos, quatro vezes por ano, e sua identidade profissional permanece limpa.

Corresponder permissões ao uso real. O princípio de segurança que as pessoas chamam de “privilégio mínimo” é apenas senso comum disfarçado: um aplicativo deve ter o acesso mínimo necessário para fazer seu trabalho, e nada mais. Se uma ferramenta só precisa saber o seu perfil básico, não deve estar mantendo direitos de postagem. Quando você não pode controlar os escopos que um aplicativo solicita, você pode pelo menos recusar aqueles que superam, recusando-se a se conectar.

Observe os sinais de uma conexão comprometida. Posts que você não escreveu, solicitações de conexão que você não enviou, mensagens saindo sob seu nome, alterações de perfil que você não fez. Qualquer um desses meios um aplicativo ou sessão se tornou desonesto. Se você os vir, revogue tudo o que não precisa absolutamente, altere sua senha, confirme que dois fatores estão ativados e verifique suas sessões ativas em Iniciar sessão e segurança para assinar qualquer dispositivo que você não reconheça.

Experimentos pessoais separados da sua identidade principal. Se você ama experimentar novas ferramentas, esteja ciente de que cada teste é uma nova chave entregue. Não há nada de errado em experimentar; lembre-se de revogar o acesso quando o julgamento terminar, da mesma forma que você devolveria um carro alugado em vez de mantê-lo estacionado em sua garagem indefinidamente.

Sua auditoria de aplicativos conectados de quinze minutos, comece a terminar

Vamos amarrá-lo em uma rotina que você pode realmente executar. Aqui está a coisa toda como um fluxo de trabalho que você poderia fazer no momento em que terminar de ler.

Abra a lista. Vá para Configurações e Privacidade, depois para Privacidade de dados e Entre e segurança, e puxe os serviços permitidos e as conexões de login.

Ordenar cada app. Manter, remover ou investigar, usando as três perguntas: Eu reconheço isso? Eu uso? O que pode fazer? Seja implacável com qualquer coisa não reconhecida ou não utilizada.

Revogue os removedores. Clique e corte o acesso em tudo em sua pilha de remoção. Para conexões de login puro, confirme que você tem outro caminho para esse serviço primeiro.

Investigue os talvezs. Para aplicativos com muita permissão, você não tem certeza, procure a empresa, encontre sua política de privacidade e decida. Quando genuinamente rasgado, remova e adicione novamente mais tarde, se necessário.

Tranca as portas atrás de ti. Confirme que a autenticação de dois fatores está ativada, revise suas sessões ativas e assine qualquer coisa desconhecida.

Defina o lembrete recorrente. Coloque uma auditoria trimestral em seu calendário para que isso nunca se torne um pânico de uma vez na lua azul novamente.

É isso aí. Você deixou de ter nenhuma ideia do que pode tocar seu LinkedIn conta para saber exatamente o que está conectado, por que e como alterá-lo. Para o quadro mais amplo de correr uma presença social apertada, segura e de baixo estresse, nossa dicas de gerenciamento de mídia social Coloque esses hábitos em uma rotina completa.

A página de aplicativos conectados nunca será a tela mais emocionante do LinkedIn. Mas pode ser a mais importante que você não estava olhando. Quinze minutos agora lhe compra uma identidade profissional que permanece sua, conectada apenas às ferramentas que você realmente escolheu. É uma troca que vale a pena fazer, neste trimestre e em todos depois disso.