Почему не стоит покупать старые GitHub-аккаунты

Старый GitHub-аккаунт — это профиль, созданный несколько лет назад и обросший историей: репозиториями, коммитами, пулл-реквестами. Кажется, что такая история автоматически придаёт веса профилю. Но возраст аккаунта — лишь одна из характеристик. Он не гарантирует ни доверия, ни репутации, ни качества кода. А если аккаунт куплен у третьих лиц, проблем становится ещё больше.

Чем опасен купленный аккаунт

На рынке есть услуги по продаже «старых» GitHub-профилей. Возможные проблемы:

• неизвестная история репозиториев и активность — неизвестно, что делал этот аккаунт раньше;
• предыдущие нарушения правил могут привести к блокировке;
• в аккаунте могут остаться SSH-ключи и токены доступа, созданные прежним владельцем;
• непонятно, кто ещё имеет доступ к аккаунту — продавец может вернуть его себе через восстановление;
• членство в организациях и чужие проекты, к которым вы получаете доступ без необходимости.

Аккаунт — не просто логин, а доступ к коду, приватным репозиториям, облачным сервисам и системам деплоя. Компрометация такого аккаунта бьёт не только по профилю, но и по инфраструктуре, с которой он связан. Дата создания ничего этого не отменяет.

Как навести порядок в своём аккаунте

Вместо того чтобы искать чужой, безопаснее развивать свой. Если аккаунт уже старый — тем более. Вот минимум, который стоит сделать.

Безопасность

• Используйте уникальный сложный пароль. Лучше всего — через менеджер паролей.
• Включите двухфакторную аутентификацию. Коды восстановления храните отдельно и надёжно.
• Защитите почту, привязанную к GitHub. Если её взломают, аккаунт тоже будет в опасности.
• Проверьте, какие приложения имеют доступ к аккаунту, и отзовите лишние.
• Просмотрите SSH-ключи. Удалите те, что относятся к старым компьютерам, или те, что вам незнакомы.
• Аналогично — токены доступа. Создавайте их только под конкретную задачу, храните в секрете, отзывайте неиспользуемые.

Никогда не коммитьте в репозиторий пароли, API-ключи и прочие секреты. Даже если удалить файл, секрет останется в истории. Всё, что попало в публичный репозиторий, — временно или постоянно доступно другим. Если секрет утёк, немедленно его отзовите и перевыпустите.

Если случайно выложили токен или пароль, удалить файл недостаточно: секрет остаётся в истории. Немедленно отозвите его и сгенерируйте новый.

Репозитории и профиль

Старые аккаунты часто содержат заброшенные проекты. Пройдитесь по репозиториям и решите, что с ними делать: оставить публичными, сделать приватными, заархивировать или удалить. Перед тем как менять видимость, подумайте, не зависят ли от проекта другие люди.

Публичный репозиторий — это витрина. Проверьте, нет ли там лишнего: адреса почты, внутренней документации, конфигурации с данными. Контрибьюторы и коммиты должны отражать только ваш реальный вклад.

Профиль и аутентичность

Заполните профиль честно: биография, навыки, ссылки на проекты. Контрибьюция не должна быть чужой. Пытаться выглядеть опытнее за счёт чужих коммитов — плохая идея: и репутация пострадает, и доверие потеряете.

Восстановление доступа и фишинг

Держите актуальные способы восстановления аккаунта. Если доступ потеряли, используйте официальные процедуры GitHub. Не доверяйте сторонним сервисам, которые просят пароль или коды под предлогом «гарантированного восстановления».

Фишинговые сообщения маскируются под уведомления GitHub: просят «подтвердить аккаунт», «проверить репозиторий», «принять приглашение в организацию». Всегда проверяйте запросы через официальные каналы и не вводите логин на незнакомых страницах.

Долгосрочный уход

Раз в несколько месяцев просматривайте: не появились ли лишние приложения, ключи, токены, новые участники в организациях. Если используете несколько устройств, на каждом должен быть свой ключ. Если компьютер списываете — удалите с него ключи и токены.

Множеству людей не нужен доступ к аккаунту. Для совместной работы используйте организации и команды GitHub, а не общие пароли.

Вывод

Старый аккаунт сам по себе не делает вас опытным разработчиком. Купленный — добавляет кучу проблем и почти наверняка вредит репутации. Гораздо надёжнее вести свой аккаунт: чистить лишнее, закрывать дыры в безопасности и постепенно наращивать настоящую историю.