Aller au contenu principal

Les paramètres de votre compte

Vos paramètres personnels se trouvent sous votre avatar → Configuration (frem.sh/user/settings). Ils concernent votre compte, distinct de l’espace d’administration de toute organisation : ils vous suivent dans toutes les organisations dont vous êtes membre. Cette page décrit les éléments que vous gérez vous-même : clés, jetons et notifications.

Clés SSH

Si votre organisation autorise SSH (il est désactivé par défaut sur les nouvelles organisations, voir Quand SSH n’est pas autorisé ci-dessous), c’est ici que vous enregistrez vos clés publiques.

Pour ajouter une clé : ouvrez Paramètres utilisateur → Clés SSH / GPG, collez votre clé publique (le contenu de ~/.ssh/id_ed25519.pub), donnez-lui un nom reconnaissable et enregistrez. fremforge affiche l’empreinte de la clé et la date de sa dernière utilisation pour s’authentifier, afin que vous repériez une clé que vous ne reconnaissez plus.

Pour révoquer une clé : supprimez-la depuis la même page. La révocation est immédiate : la prochaine opération Git utilisant cette clé est refusée. Révoquez sans attendre toute clé présente sur un appareil perdu ou mis hors service.

Préférez les clés adossées à du matériel (algorithmes sk-* : Touch ID, FIDO/YubiKey). Certaines organisations les exigent ; une clé non matérielle est alors refusée à l’enregistrement. Consultez Connexion sécurisée pour la procédure complète de génération de clés.

Clés GPG

Enregistrez ici une clé publique GPG pour que vos commits et tags signés apparaissent comme Verified dans l’interface.

Pour ajouter une clé : ouvrez Paramètres utilisateur → Clés SSH / GPG, collez votre clé publique au format ASCII armor (gpg --armor --export <key-id>) et enregistrez. fremforge vérifie que l’adresse e-mail de la clé correspond à une adresse vérifiée de votre compte avant de marquer des commits comme vérifiés.

Pour révoquer une clé : supprimez-la depuis la même page. Les commits déjà signés avec elle conservent leur signature historique ; les nouveaux commits signés avec la clé supprimée ne s’affichent plus comme vérifiés.

Si vous préférez ne pas gérer du tout de clés de signature de longue durée, fremforge prend en charge la signature de commits sans clé, fondée sur l’identité, via votre IdP : aucune clé à générer, conserver ou renouveler. Voir Signature de commits sans clé.

Jetons d’accès personnels (PAT)

Un jeton d’accès personnel authentifie les opérations Git et les appels d’API en votre nom, sans connexion interactive dans le navigateur : pratique pour les scripts, les outils locaux et tout client qui ne peut pas suivre le parcours GCM dans le navigateur.

Pour créer un jeton : ouvrez Paramètres utilisateur → Jetons d’accès Git → Créer un nouveau PAT, donnez-lui un nom explicite, choisissez ses scopes (n’accordez que ce dont l’usage a besoin), fixez une date d’expiration et cliquez sur Créer le PAT. La valeur du jeton ne s’affiche qu’une fois : copiez-la immédiatement, vous ne pourrez pas la récupérer ensuite.

Utilisez un PAT comme mot de passe pour les opérations Git en HTTPS, ou comme jeton porteur pour l’API REST :

# Git over HTTPS
git clone https://frem.sh/<org>/<repo>.git
# username: your fremforge username; password: the PAT

# REST API
curl -H "Authorization: token <PAT>" https://frem.sh/_app/api/v1/user

Pour révoquer un jeton : cliquez sur Révoquer à côté de celui-ci, sur la même page. La révocation est immédiate. Révoquez tout jeton susceptible d’avoir fuité, et préférez des durées courtes pour qu’un jeton oublié expire de lui-même. Votre organisation peut plafonner la durée de vie maximale des jetons ; si la date d’expiration choisie est refusée, c’est ce plafond qui en est la cause.

Pour l’usage quotidien de Git par des humains, la méthode recommandée est HTTPS interactif + Git Credential Manager (avec MFA à chaque renouvellement), plutôt qu’un PAT de longue durée. Voir Connexion sécurisée.

Préférences de notification

Ouvrez Paramètres utilisateur → Compte pour choisir comment fremforge vous contacte : la préférence de notification par e-mail sous Gérer les adresses courriels (enregistrée avec Définir les préférences de courriel) détermine si vous recevez des e-mails pour les événements auxquels vous êtes abonné (tickets et PR qui vous sont assignés, mentions, relectures qui vous sont demandées et dépôts que vous suivez). Désactivez-la pour vous en tenir à la boîte de notifications de l’application, ou laissez-la activée pour recevoir aussi des e-mails. Les réglages de suivi propres à chaque dépôt (le contrôle Watch de chaque dépôt) déterminent en amont quels dépôts alimentent ces notifications.

Quand SSH n’est pas autorisé

Les nouvelles organisations sont livrées avec la connexion SSH désactivée : HTTPS est le chemin Git par défaut. Si toutes les organisations dont vous êtes membre ont désactivé SSH, la section Clés SSH de vos paramètres vous l’indique : à la place du formulaire d’ajout de clé, vous voyez le message « Les clés SSH et GPG ne sont pas autorisées », puisqu’aucune clé ne pourrait actuellement servir nulle part.

Si vous essayez malgré tout, un clone, un fetch ou un push en SSH sur les dépôts de cette organisation est refusé avec un message qui nomme le réglage de l’organisation et donne l’URL HTTPS à utiliser pour cloner.

Que faire :

  • Utilisez HTTPS. Clonez et poussez via https://frem.sh/<org>/<repo>.git avec Git Credential Manager : c’est de toute façon la méthode recommandée, et elle impose la MFA à chaque renouvellement du jeton. Voir Connexion sécurisée pour la configuration.
  • Pour les clients non interactifs, créez un jeton d’accès personnel et utilisez-le comme mot de passe HTTPS.
  • Si vous avez réellement besoin de SSH, demandez à un propriétaire de l’organisation de réactiver le protocole SSH pour l’organisation (Administration de l’organisation → Politique d’authentification). Dès qu’une organisation dont vous êtes membre autorise SSH, le formulaire d’ajout de clé réapparaît ici.

Références croisées