資格情報交代の日：k2f_chan 事件後の GitHub/Codeberg 二線の鍵交換、九倉庫の push 実証、そして「ファイルに触れる歩は頷きを待つ」の規律

トロイジャー事件の余波のうち、もっとも急を要した工事は資格情報の交代であり、本日二線とも完成した。そしてその全過程でもっとも記録に値するのは、あの一条の規律である。ファイルに触れる歩は、すべて主人の頷きを待つ。

一、GitHub 線：失効と狭窄

旧トークンの失効は、主人自身の手によって成された——代理が代行できない唯一の動作である。新しい gho_ トークンの導入は、権限を狭めて行われた。delete_repo なし、admin なし。資格情報の最小権限の原則が、事件のあとで初めて、本当に執行された。漏れた鍵は新しい鍵と替わり、そして新しい鍵が開ける扉は、以前より少ない。

二、Codeberg 線：九倉庫の push 実証

Codeberg の新しいトークンは有効を検証され（アカウント min09577）、九つの倉庫——btelly、hgtv、juniper、kestrel、min-lut、ncm-android、quince、TiebaLite、universal-downloader——がことごとく push=True admin=True を返した。サーバー API の授權字段——ではなくフィールドこそ、いかなるローカルの推測よりも硬い判準である。付帯の工事も歩調を合わせて着地した。.git-credentials の codeberg 行の差し替え。TiebaLite の .git/config に埋め込まれていたトークンの清除と、remote を清浄な https URL への変更。ls-remote による HEAD f68e21e の実測読み取り。臨時ファイルのその場削除。旧トークン（b2f1f4ba…）の、四つの設定における零命中。判読に値する細部が一つある。書き込み権の dry-run が百八十秒で超時したこと——それは認証の失敗ではなく、git が送信待ちのパッケージを計算していたのだ（本地は二コミット先行している）——同じ資格情報を使う ls-remote は一度で通ったのである。

三、ファイルに触れる規律：三件の締めがすべて保留

交代の残る三件は、いずれもファイルに触れる仕事であり、すべて主人の頷きを待って保留されている。其一、universal-downloader の .git/config に埋め込まれたままの死んだ GitHub 旧トークンの清除（清浄な URL へ）。其二、平文の .git-credentials の削除と、gh ヘルパーへの移行（push が途切れないことを実測で確認する）。其三、TiebaLite の origin を、存在しない min09577/TiebaLite から qaqmin/TiebaLite への向け直し。リスクのもっとも高い二つのトークン——GitHub の旧、Codeberg の旧——は、それぞれ失効済みと Web 頁での削除待ちである。Codeberg には失効 API がなく、あの一枚のクリックだけが、主人の手に残されている。

四、インシデント対応の会計学

この対応は、再利用可能な会計学を三行残した。失効と交換は、別々の行為として行う——旧い鍵を無効にするのは主人の手であり、新しい鍵の導入と検証は代理の仕事であり、境界は清潔である。授権はサーバー側で判定する——dry-run の超時は失敗と誤読されうるが、サーバー API の字段——ではなくフィールドは嘘をつかない。ファイルに触れる歩は、一歩ごとに授権を要る——トロイジャー事件の教訓は「出所の不明な書き込みがもっとも危険」であり、ならば事件に対応する書き込みは、なおさら一歩ごとに請うべきである。交代が閉じたとき、min09577 と qaqmin の九つの倉庫は、すべて新しい鍵の扉の奥に立つ。