HerokuのOAuthトークン流出で、やっておくといいことリスト（コメント大歓迎）

2022年4月16日(日本時間)にアナウンスがあった、Heroku/Travis-CIのOAuthトークンの流出および悪用を受けて、ユーザーとしてやっておくといいことをまとめました。 GitHubのOrganizationのオーナー向けと個人向けで分けてあります。 追記: 複数の補足のコメントを頂き、記事にも取り込んでいます。ありがとうございます！ 注意 執筆者はGitHub, Heroku, Travis-CIの専門家ではありません。この記事は誤っている可能性があります。 この記事は現在調査中の問題について書かれています。最新情報は必ず公式サイトをご確認ください。 GitHub Heroku Travis CI インシデントの概要 GitHubがHerokuとTravis-CIのOAuthアプリケーションに発行したトークンが流出・悪用したことで、それらの連携が有効だった多くのOrgani

[masutaka26]

個人的には過去最大級のセキュリティインシデントなんだけど、意外とまだ（？）騒がれていない印象。記事にコメントもさせて頂きました。

[hitotakuchan]

複数の Organization に所属していて、Access Token を発行したことがある人は個人でも Token の無効化や、権限の最小化をしておいたほうがいいかも。

[yuki_2021]

後でやる。

[nmcli]

情報収集

[moromoro]

うへー

[ot2sy39]

Heroku Security Notification の 4/16 14:00JST 頃のポストで、 "we will revoke over the next several hours" とあるから、もう全部 revoke されてるんかな。

[tetsuya_m]

何これやばくない？

[kinushu]

“action:repo.download_zip”