Dónde se encuentra la lista de autorizaciones
GitLab guarda las aplicaciones que has autorizado en una única lista a nivel de cuenta. Abre la configuración de tu perfil y ve a Editar perfil, luego Acceso y después Aplicaciones. Esa página es tu inventario OAuth (OAuth): muestra las aplicaciones de terceros que pueden actuar en tu nombre y los ámbitos (scopes) que tiene cada una.
GitLab enumera las aplicaciones autorizadas en Editar perfil, Acceso, Aplicaciones. Fuente
Esto no es lo mismo que los tokens de acceso a proyectos (project access tokens) o las claves de despliegue (deploy keys). Esas son credenciales vinculadas a un repositorio o proyecto; las aplicaciones autorizadas están vinculadas a tu cuenta de usuario y pueden alcanzar más allá de ella. Audítalas por separado para que una lista OAuth limpia no te dé una falsa sensación de seguridad sobre las credenciales de proyecto.
Qué te dicen los ámbitos
Los ámbitos describen hasta dónde puede llegar una aplicación. No todos son equivalentes y no debes asumir que todas las aplicaciones son de solo lectura. Una aplicación que solo lee tu perfil supone un riesgo distinto al de otra que tiene un acceso amplio a la API (API) y puede escribir o actuar en toda tu cuenta.
Las aplicaciones autorizadas se pueden revocar; sus ámbitos pueden ir desde la lectura del perfil hasta un acceso amplio a la API. Fuente
El punto práctico: lee la línea de ámbitos antes de decidir. Si no puedes explicar por qué una aplicación necesita el acceso que tiene, esa es la aplicación que debes cuestionar primero.
Tabla de decisión para cada aplicación autorizada
| Lo que ves | Qué significa | Acción sugerida |
|---|---|---|
| Aplicación que reconoces, el ámbito coincide con su propósito y sigue en uso | Autorización esperada | Mantenerla; anota el ámbito para una revisión posterior |
| Aplicación que reconoces pero ya no usas | Autorización obsoleta | Revocarla |
| Aplicación que no reconoces en absoluto | Autorización desconocida | Investigar antes de revocar; comprobar si la añadió un colega o una integración |
| Aplicación con un ámbito amplio de API que no puedes justificar | Acceso demasiado amplio | Revocar o reducir; no asumir que es de solo lectura |
| Aplicación que sospechas que está comprometida | Riesgo activo | Revocar de inmediato y luego revisar la actividad de la cuenta |
Lista de verificación para la autorrevisión
- Abre Editar perfil, Acceso, Aplicaciones y enumera todas las aplicaciones autorizadas.
- Para cada una, escribe una línea: qué es, por qué tiene acceso y su ámbito.
- Revoca cualquier cosa que no puedas justificar.
- Revoca las aplicaciones obsoletas que ya no uses.
- Vuelve a revisar la lista después de unas semanas; pueden aparecer nuevas autorizaciones sin que hayas notado un aviso.
- Mantén esta auditoría separada de las revisiones de tokens de acceso a proyectos.
Límites honestos
Revocar una aplicación pone fin a su acceso futuro a través de esa autorización. No entra en los sistemas propios de la aplicación ni elimina los datos que ya se copiaron, exportaron o almacenaron en caché. Si una aplicación guardó la información de tu perfil, la revocación no es una solicitud de eliminación. Trata la revocación como cerrar una puerta, no como limpiar la habitación.
La revocación tampoco hace que tu perfil de GitLab sea privado. La visibilidad del perfil y la autorización de aplicaciones son ajustes separados; cambiar uno no cambia el otro.
Después de revocar
Tu huella pública es más amplia que la lista OAuth de una sola plataforma. Saber qué nombres de usuario son visibles públicamente te ayuda a decidir dónde buscar a continuación. TraceSeek comprueba un nombre de usuario en más de 3.000 plataformas y devuelve coincidencias públicas en 20–30 segundos, con un primer escaneo gratuito y sin necesidad de registro. Esas coincidencias son pistas, no prueba de identidad, y la aplicación no cambia la configuración de las plataformas ni ve información privada. Para un barrido más amplio, consulta encontrar cuentas olvidadas en línea; para saber cómo se enmarcan los resultados, lee nuestra metodología.
Datos clave
- GitLab enumera las aplicaciones autorizadas en Editar perfil, Acceso, Aplicaciones.
- Las aplicaciones autorizadas se pueden revocar, y sus ámbitos pueden ir desde la lectura del perfil hasta un acceso amplio a la API.
- Revocar una aplicación autorizada no elimina los datos que la aplicación ya copió.
- Las aplicaciones autorizadas son autorizaciones a nivel de cuenta, separadas de los tokens de acceso a proyectos.
- TraceSeek comprueba un nombre de usuario en más de 3.000 plataformas y devuelve coincidencias públicas en 20–30 segundos.