Hvorfor blir jeg bedt om å bekrefte at det er meg når jeg logger inn med Git Credential Manager, tea eller CLI-en?

Når en app som Git Credential Manager åpner nettleseren din for å logge deg inn på frem.sh, kan frem.sh først vise siden Confirm it’s you. Bekreft med passnøkkelen eller sikkerhetsnøkkelen din, en kode fra autentiseringsappen din eller ved å logge inn på nytt hos organisasjonens identitetsleverandør, så går nettleseren rett tilbake og fullfører innloggingen. Du trenger ikke klikke en gang til for å gi appen tilgang.

Du blir spurt omtrent én gang i måneden på hver enhet, når en app logger inn på nytt. En app som fornyer innloggingen sin i bakgrunnen, blir aldri spurt.

Hva som skjer

1. En app på datamaskinen din åpner nettleseren på frem.sh for å logge deg inn, for eksempel ved din første git push med Git Credential Manager, eller når du kjører fremforge auth login.
2. Hvis du ikke har bekreftet at det er deg i løpet av de siste 5 minuttene, viser frem.sh Confirm it’s you. Siden viser navnet på appen og hvor den kjører (for en app som ikke kjører på din egen datamaskin: «It runs on» og verten). Den skriver «Only continue if you started this sign-in.» og lenker til denne siden («Why am I asked?»).
3. Du bekrefter (se Slik bekrefter du).
4. Nettleseren går tilbake til appen, og innloggingen fullføres. Du klikker ikke på Authorize en gang til.

En bekreftelse gjelder i høyst 5 minutter og brukes opp av den ene innloggingen. Hvis en annen app logger inn på nytt et minutt senere, bekrefter du igjen.

Er dette appen jeg startet?

frem.sh viser bare navnet på en app rett ut når den stoler på appen ut fra klient-ID-en: Git Credential Manager, git-credential-oauth og tea (innebygd i Forgejo) samt fremforge CLI og fremforges MCP-connector. Alle andre apper vises med navnet i anførselstegn og med eieren, for eksempel:

“Example App”, registered by example-owner, wants to sign in to your account. Confirm it’s you to continue.

Står navnet i anførselstegn med «registered by», er det en tredjepartsapp. Sjekk at du selv startet denne innloggingen fra den appen. Hvis ikke, ikke fortsett: lukk siden. Noen prøver kanskje å få et token til kontoen din via en app de selv har registrert. Si fra til organisasjonens administrator eller til security@frem.sh.

Hvorfor frem.sh spør

Disse appene logger inn uten en klienthemmelighet (client secret). Et program som er installert på millioner av bærbare datamaskiner, kan ikke holde på en hemmelighet, så OAuth-standarden kaller det en offentlig klient. Det har én konsekvens: frem.sh kan ikke skille den ekte Git Credential Manager fra et hvilket som helst annet program på en datamaskin som utgir seg for å være den.

Hvis noen hadde stjålet nettleserøkten din (en økt-cookie, for eksempel via skadevare eller en delt datamaskin), kunne de altså kjøre et lite program selv, utgi seg for å være Git Credential Manager eller fremforge CLI og få et token til kontoen din uten noen gang å kjenne passordet ditt eller den andre faktoren din.

Når du bekrefter at det er deg, tettes det hullet. En stjålet økt alene gir ikke lenger et token: personen må være til stede med passnøkkelen, sikkerhetsnøkkelen, autentiseringsappen, passordet eller identitetsleverandøren sin. Det er samme idé som GitHubs «sudo mode», som ber deg autentisere deg på nytt før sensitive handlinger.

Hvilke apper

Alle apper som logger inn på frem.sh uten en klienthemmelighet, blant annet:

• Git Credential Manager (GCM), satt opp som i Sikker innlogging
• git-credential-oauth
• tea, kommandolinjeklienten for Forgejo og Gitea
• fremforge CLI: fremforge auth login, både innlogging i nettleseren (loopback) og innlogging med enhetskode. Se Autentisering i CLI-en.
• connectorer for AI-assistenter som logger inn på frem.sh som deg, se MCP
• alle OAuth-apper fra tredjeparter som er registrert som offentlig klient

Apper med en klienthemmelighet er uendret. En OAuth-app som kjører på en server og autentiserer seg med en klienthemmelighet (en konfidensiell klient), logger deg inn som før, med den vanlige samtykkesiden.

Hvor ofte

Omtrent én gang i måneden på hver enhet. Du bekrefter når en app logger inn på nytt, ikke hver gang du bruker git:

• En app som fornyer innloggingen sin i bakgrunnen, blir aldri spurt. Tilgangstokenet til Git Credential Manager varer i 24 timer og oppdateringstokenet i 30 dager. Innenfor de 30 dagene fornyer GCM tokenet i det stille ved neste push eller fetch.
• Tokenene på 1 time i fremforge CLI fornyes i det stille på samme måte.
• Når en app bruker en innlogging den allerede har, blir du aldri spurt. Push, fetch og kall fra CLI-en og connectorer med en eksisterende innlogging går gjennom som før.

Du blir spurt når en app åpner nettleseren for å logge inn på nytt. Det skjer:

• ved en ny enhets første innlogging, for eksempel en ny bærbar PC eller en ny WSL-installasjon
• etter at du har logget ut, eller etter at du har fjernet appens tilgang under Autoriserte OAuth2-applikasjoner på frem.sh/user/settings/applications
• etter 30 dager uten bruk, når oppdateringstokenet har utløpt

Slik bekrefter du

Single sign-on: ett klikk, en ny innlogging. frem.sh ber identitetsleverandøren din om en ny innlogging og teller den bare hvis leverandøren faktisk logget deg inn akkurat nå: det kan ikke noen som har en stjålet frem.sh-økt. Du trenger ingen passnøkkel eller andre faktor på frem.sh for Git Credential Manager, tea eller CLI-en. Krever organisasjonen din en andre faktor hos identitetsleverandøren, fullfører du den der som vanlig.

Avbryter du hos identitetsleverandøren, eller ba den deg ikke logge inn på nytt (den gjenbrukte en tidligere innlogging), kommer du tilbake til siden Confirm it’s you, som sier fra om det og lar deg prøve igjen.

Har du et passord, men ingen andre faktor, skriver siden også «Set up two-factor authentication, so you can confirm with a code or a security key next time.» Har du bare single sign-on, skriver den «Set up a passkey or another second factor, so you can confirm here next time.» Det er valgfritt: en ny innlogging hos identitetsleverandøren din er nok.

Du har 5 forsøk på 15 minutter. Etter det ber siden deg prøve igjen om 15 minutter.

Jeg har ingen andre faktor

• Du har et passord til frem.sh: bekreft med passordet ditt. Sett deretter opp en passnøkkel eller tofaktorautentisering, så du bekrefter med den neste gang. Til du har bekreftet med den én gang, tilbyr siden fortsatt passordet ditt ved siden av den nye faktoren.
• Du logger bare inn via organisasjonens single sign-on: klikk på Sign in again with … for identitetsleverandøren din. Det er alt.
• Du har ingen av delene: siden ber deg kontakte organisasjonens administrator eller support@frem.sh. Vi hjelper deg med å sette opp en andre faktor.

Feilsøking

• Innloggingen mislyktes etter at jeg hadde bekreftet. Bekreftelsen brukes opp av én innlogging og gjelder i 5 minutter. Hvis appen fikk tidsavbrudd i mellomtiden, kjører du kommandoen på nytt (for eksempel git fetch) og bekrefter en gang til.
• «… didn’t ask you to sign in again, so this couldn’t confirm it’s you.» Identitetsleverandøren din gjenbrukte en tidligere innlogging i stedet for å spørre deg på nytt. Prøv en gang til. Skjer det igjen, si fra til administratoren din: leverandøren ignorerer forespørselen fra frem.sh om en ny innlogging.
• «Your organisation requires a second factor at … and it didn’t confirm one.» Organisasjonens identitetsleverandør er satt opp til å kreve en andre faktor og rapporterte ingen. Logg inn på nytt, og fullfør steget med den andre faktoren der.
• «You set up this passkey or code in this session, so it can’t confirm an app’s sign-in here.» En faktor du nettopp har lagt til, kan ikke bekrefte en apps innlogging før du én gang har bekreftet at det er deg på en annen måte, slik at noen med en stjålet økt ikke kan legge til en passnøkkel og bruke den. Du trenger ikke vente: bruk én gang en faktor du hadde fra før, passordet ditt eller Sign in again with … for identitetsleverandøren din. Etter det fungerer den nye passnøkkelen som vanlig, på alle enheter.
• Jeg blir spurt hver dag. Sjekk at Git Credential Manager kan lagre tokenet sitt: se innstillingen credential.credentialStore i trinn 4 i Sikker innlogging. Uten et fungerende lager har GCM ikke noe oppdateringstoken å gjenbruke og logger inn på nytt hver gang.
• Et skript eller en CI-jobb sluttet å virke. Jobber som kjører uten tilsyn, bør ikke bruke en interaktiv innlogging. Bruk et personlig tilgangstoken eller Forgejo Actions OIDC, som ikke berøres.