À propos de GitHub Apps et de OAuth apps
En général, GitHub Apps sont préférés à OAuth apps. GitHub Apps utilisez des autorisations affinées, donnez à l’utilisateur plus de contrôle sur les dépôts auxquels l’application peut accéder et utiliser des jetons de courte durée. Ces propriétés contribuent à durcir la sécurité de votre application, car elles limitent les dommages potentiels en cas de divulgation des informations d’identification de votre application.
Similaire à OAuth apps, GitHub Apps peut toujours utiliser OAuth 2.0 et générer un type de jeton OAuth (appelé jeton d’accès utilisateur) et effectuer des actions pour le compte d’un utilisateur. Toutefois, GitHub Apps peut également agir indépendamment d’un utilisateur. Cela est utile pour les automatisations qui ne nécessitent pas d’entrée utilisateur. L’application pourra continuer de fonctionner même si la personne ayant initialement installé l’application sur une organisation quitte cette organisation.
GitHub Apps ont des webhooks intégrés et centralisés. GitHub Apps peut recevoir des événements webhook pour tous les dépôts et organisations auxquels l’application peut accéder. À l’inverse, OAuth apps doit configurer des webhooks individuellement pour chaque dépôt et chaque organisation.
La limite de taux pour GitHub Apps lors de l’utilisation d’un jeton d’accès d’installation varie en fonction du nombre de référentiels et du nombre d’utilisateurs de l’organisation. À l’inverse, OAuth apps ont des limites de débit plus faibles et ne passent pas à l’échelle.
Il y a un cas où un OAuth app est préféré à un GitHub App. Si votre application doit accéder à des ressources au niveau de l’entreprise telles que l’objet d’entreprise lui-même, vous devez utiliser une OAuth app fonction car une GitHub App autorisation ne peut pas encore être accordée à une entreprise. GitHub Apps peut toujours accéder aux ressources de l’organisation et du référentiel appartenant à l’entreprise.
Pour plus d’informations sur GitHub Apps, consultez À propos de la création d’applications GitHub.
Pour plus d’informations sur la migration d’un existant OAuth app vers un GitHub App, consultez Migration d’applications OAuth vers des applications GitHub.
Qui peut installer GitHub Apps et autoriser OAuth apps?
Vous pouvez installer GitHub Apps dans votre compte personnel ou vos organisations. Si vous disposez d’autorisations d’administrateur dans un référentiel, vous pouvez installer GitHub Apps sur des comptes d’organisation. Si une application GitHub est installée dans un référentiel et nécessite des autorisations d’organisation, le propriétaire de l’organisation doit approuver l’application.
Par défaut, seuls les propriétaires d’organisation peuvent gérer les paramètres des applications GitHub dans une organisation. Pour permettre à d’autres utilisateurs de modifier les paramètres de développeur des applications GitHub appartenant à l’organisation, un propriétaire peut leur accorder des autorisations de gestionnaire d’applications GitHub. Les gestionnaires d’applications GitHub ne peuvent pas gérer les applications tierces. Pour plus d’informations sur l’ajout et la suppression de gestionnaires d’applications GitHub dans votre organisation, consultez Rôles dans une organisation.
En revanche, les utilisateurs autorisent OAuth apps, ce qui donne à l’application la possibilité d’agir en tant qu’utilisateur authentifié. Par exemple, vous pouvez autoriser une OAuth app autorisation qui recherche toutes les notifications pour l’utilisateur authentifié. Vous pouvez toujours révoquer des autorisations d’un OAuth app.
Les propriétaires de l’organisation peuvent choisir s’il faut autoriser les collaborateurs externes à demander l’accès pour non approuvé OAuth apps et GitHub Apps. Pour plus d’informations, consultez « Limitation des demandes et installations d’accès aux applications OAuth et GitHub ».
Avertissement
La révocation de toutes les autorisations d'une OAuth app supprime toutes les clés SSH que l'application a générées au nom de l'utilisateur, y compris les clés de déploiement.
| Applications GitHub | OAuth apps |
|---|---|
| Vous devez être propriétaire de l’organisation ou disposer d’autorisations d’administrateur dans un référentiel pour installer une application GitHub sur une organisation. Si une application GitHub est installée dans un référentiel et nécessite des autorisations d’organisation, le propriétaire de l’organisation doit approuver l’application. | Vous pouvez autoriser un OAuth app accès aux ressources. |
| Vous pouvez installer une application GitHub sur votre dépôt personnel. | Vous pouvez autoriser un OAuth app accès aux ressources. |
| Vous devez être propriétaire de l’organisation, propriétaire de référentiel personnel ou disposer d’autorisations d’administrateur dans un référentiel pour désinstaller une application GitHub et supprimer son accès. | Vous pouvez supprimer un jeton d’accès OAuth pour supprimer l’accès. |
| Vous devez être propriétaire de l’organisation ou disposer d’autorisations d’administrateur dans un référentiel pour demander une installation d’application GitHub. | Si une stratégie d’application d’organisation est active, tout membre de l’organisation peut demander l’installation d’une OAuth app application sur une organisation. Un propriétaire de l’organisation doit approuver ou rejeter la demande. |
Qu’est-ce qui peut GitHub Applications et OAuth apps accéder ?
Les propriétaires de compte peuvent utiliser un GitHub App compte dans un compte sans accorder l’accès à un autre. Par exemple, vous pouvez installer un service de construction tiers sur l’organisation de votre employeur, mais décider de ne pas accorder à ce service de construction l’accès aux dépôts dans votre compte personnel. Une application GitHub reste installée si la personne qui l’a configurée quitte l’organisation.
Un _autorisé_OAuth app a accès à toutes les ressources accessibles de l’utilisateur ou du propriétaire de l’organisation.
| Applications GitHub | OAuth apps |
|---|---|
| L'installation d'une application GitHub accorde l'accès de l'application aux dépôts choisis d'un utilisateur ou d'un compte d'organisation. | L’autorisation d’une OAuth app application accorde l’accès à l’application aux ressources accessibles de l’utilisateur. Par exemple, les dépôts auxquels elles peuvent accéder. |
| Le jeton d’installation d’une application GitHub perd l’accès aux ressources si un administrateur supprime les dépôts de l’installation. | Un jeton d’accès OAuth perd l’accès aux ressources quand l’utilisateur perd l’accès, par exemple, quand il perd l’accès en écriture à un dépôt. |
| Les jetons d’accès d’installation sont limités aux dépôts spécifiés avec les autorisations choisies par le créateur de l’application. | Un jeton d’accès OAuth est limité par le biais d’étendues. |
| Les applications GitHub peuvent demander un accès séparé aux problèmes et aux pull requests sans accéder au contenu réel du dépôt. | |
OAuth apps doit demander l’étendue pour obtenir l’accès repo aux problèmes, aux demandes de tirage (pull request) ou à tout élément appartenant au référentiel. | |
| GitHub Applications ne sont pas soumises aux stratégies d'application de l'organisation. Une application GitHub n’a accès qu’aux répertoires auxquels un propriétaire de l’organisation a accordé l’accès. | Si une stratégie d’application d’organisation est active, seul un propriétaire de l’organisation peut autoriser l’installation d’un OAuth app. S’il est installé, le gain OAuth app d’accès à tout ce qui est visible par le propriétaire de l’organisation au sein de l’organisation approuvée. |
| Une application GitHub reçoit un événement de webhook lorsqu’une installation est modifiée ou supprimée. Cela indique au créateur de l’application quand celle-ci a reçu plus ou moins d’accès aux ressources d’une organisation. | |
| OAuth apps peut perdre l’accès à une organisation ou à un référentiel à tout moment en fonction de la modification de l’accès de l’utilisateur. Le OAuth app message ne vous informe pas lorsqu’il perd l’accès à une ressource. |
Identification basée sur un jeton
Remarque
GitHub Apps peut également utiliser un jeton basé sur l’utilisateur. Pour plus d’informations, consultez « Authentification auprès d’une application GitHub pour le compte d’un utilisateur ».
| Applications GitHub | OAuth apps |
|---|---|
| Une application GitHub peut demander un jeton d’accès d’installation à l’aide d’une clé privée avec un format de jeton web JSON hors bande. | Un OAuth app peut échanger un jeton de demande pour un jeton d’accès après une redirection via une requête web. |
| Un jeton d’installation identifie l’application comme bot GitHub Apps, tel que @jenkins-bot. | Un jeton d’accès identifie l’application comme étant l’utilisateur qui a accordé le jeton à l’application, par exemple, @octocat. |
| Les jetons d’accès d’installation expirent après une période prédéfinie (actuellement 1 heure). | Les jetons OAuth restent actifs jusqu’à ce que le client les révoque. |
| GitHub Apps installés sur des organisations ou des référentiels sont soumis à des limites de débit qui sont mises à l’échelle avec le nombre d’installations. Pour plus d’informations, consultez « Limites de débit pour les applications GitHub ». | Les jetons OAuth utilisent la limitation de débit de l’utilisateur de 5 000 requêtes par heure. |
| Les augmentations de limite de débit peuvent être accordées au niveau GitHub Apps (affectant toutes les installations) et au niveau de l’installation individuelle. | Les augmentations de limite de débit sont accordées par OAuth app. Chaque jeton accordé à cela OAuth app obtient la limite accrue. |
| GitHub Apps peut s’authentifier pour le compte de l’utilisateur. Le flux à autoriser est identique au flux d’autorisation OAuth app . Les jetons d’accès utilisateur peuvent expirer et être renouvelés avec un jeton d’actualisation. Pour plus d’informations, consultez « Actualisation des jetons d’accès utilisateur » et « Authentification auprès d’une application GitHub pour le compte d’un utilisateur ». | Le flux OAuth utilisé par OAuth apps autorise un OAuth app compte de l’utilisateur. Il s’agit du même flux que celui utilisé pour générer un jeton d’accès GitHub App utilisateur. |
Demande de niveaux d’autorisation pour des ressources
Contrairement OAuth appsà , GitHub Apps disposent d’autorisations ciblées qui leur permettent de demander l’accès uniquement à ce dont elles ont besoin. Par exemple, une application GitHub d’intégration continue (CI) peut demander l’accès en lecture au contenu du référentiel et l’accès en écriture à l’API d’état. Une autre application GitHub ne peut pas avoir d’accès en lecture ou en écriture au code, mais elle a toujours la possibilité de gérer les problèmes, les étiquettes et les jalons. OAuth apps ne peut pas utiliser d’autorisations granulaires.
| Accès | Applications GitHub (autorisations read ou write) | OAuth apps |
|---|---|---|
| Pour accéder aux dépôts publics | Le dépôt public doit être choisi lors de l’installation. | Étendue public_repo. |
| Pour accéder au code/contenu du dépôt | Contenu d’un dépôt | Étendue repo. |
| Pour accéder aux problèmes, étiquettes et jalons | Problèmes | Étendue repo. |
| Pour accéder aux pull requests, étiquettes et jalons | Demandes de tirage | Étendue repo. |
| Pour accéder aux états de validation (pour les builds CI) | États de validation | Étendue repo:status. |
| Pour accéder aux déploiements et aux états de déploiement | Déploiements | Étendue repo_deployment. |
| Pour recevoir des événements via un webhook | Une application GitHub inclut un webhook par défaut. | Étendue write:repo_hook ou write:org_hook. |
Découverte d’un dépôt
| Applications GitHub | OAuth apps |
|---|---|
GitHub Apps peut examiner / pour voir les référentiels auxquels l’installation peut accéder. | |
OAuth apps peut rechercher /user/repos une vue utilisateur ou /orgs/:org/repos une vue d’organisation des référentiels accessibles. | |
| GitHub Apps reçoit des webhooks lorsque les référentiels sont ajoutés ou supprimés de l’installation. | |
| OAuth apps créez des webhooks d’organisation pour les notifications lorsqu’un nouveau référentiel est créé au sein d’une organisation. |
Webhooks
| Applications GitHub | OAuth apps |
|---|---|
| Par défaut, GitHub Apps disposent d’un webhook unique qui reçoit les événements auxquels ils sont configurés pour chaque dépôt auquel ils ont accès. | |
| OAuth apps demandez à l’étendue du webhook de créer un webhook de référentiel pour chaque dépôt dont ils ont besoin pour recevoir des événements. | |
| Les applications GitHub reçoivent certains événements au niveau de l'organisation avec l'autorisation d'un membre de l'organisation. | |
| OAuth apps demandez à l’étendue du webhook de l’organisation de créer un webhook d’organisation pour chaque organisation dont elle a besoin pour recevoir des événements au niveau de l’organisation. | |
| Les webhooks sont automatiquement désactivés lorsque l’application GitHub est désinstallée. | Les webhooks ne sont pas automatiquement désactivés si un jeton d’accès OAuth appest supprimé et qu’il n’existe aucun moyen de les nettoyer automatiquement. Vous devez demander aux utilisateurs de procéder manuellement. |
Accès à Git
| Applications GitHub | OAuth apps |
|---|---|
| Les applications GitHub requièrent l’autorisation des contenus du référentiel et utilisent le jeton d’accès de votre installation pour s’authentifier via Git fonctionnant sur HTTP. Pour plus d’informations, consultez Génération d’un jeton d’accès d’installation pour une application GitHub | |
| OAuth apps | |
write:public_key demandez l’étendue et créez une clé de déploiement via l’API. Vous pouvez ensuite utiliser cette clé pour exécuter des commandes Git. | |
| Le jeton est utilisé en tant que mot de passe HTTP. | Le jeton est utilisé en tant que nom d’utilisateur HTTP. |
Les comptes machines et bots
Les comptes d'utilisateur d'ordinateur sont des comptes personnels OAuth qui séparent les systèmes automatisés à l'aide du système utilisateur de GitHub.
Les comptes de bot sont spécifiques à GitHub Apps et sont intégrés à chaque application GitHub.
| Applications GitHub | OAuth apps |
|---|---|
| GitHub bots d’application ne consomment pas d’application GitHub Enterprisesiège de. | Un compte d’utilisateur d’ordinateur consomme un GitHub Enterprisesiège. |
| Étant donné qu'un bot d'application GitHub n'a jamais reçu de mot de passe, un client ne peut pas se connecter directement. | Un compte d’utilisateur de machine reçoit un nom d’utilisateur et un mot de passe que le client doit gérer et sécuriser. |