Qué es realmente una autorización OAuth
Cuando haces clic en “Autorizar” en una aplicación de terceros, GitHub registra una concesión: la app ahora puede actuar en tu nombre dentro de los permisos que aprobaste. Esa concesión no es tu sesión del navegador, no es una clave SSH y no es una GitHub App instalada con su propia configuración de instalación. Cada una de estas se revoca o elimina en un lugar diferente, así que el primer paso es identificar qué tipo de acceso estás viendo realmente.
| Lo que ves | Qué es | Dónde se gestiona |
|---|---|---|
| Una aplicación de terceros listada con ámbitos que aprobaste | Autorización OAuth | Configuración → Aplicaciones → Aplicaciones OAuth autorizadas |
| Un par de claves que añadiste para Git sobre SSH | Clave SSH | Configuración → Claves SSH y GPG |
| Tienes la sesión iniciada en este navegador | Sesión de inicio de sesión | Cerrar sesión, o la página de sesiones |
| Una app instalada en un repositorio u organización | Instalación de GitHub App | La configuración de instalación de la app o de la organización |
Si la entrada que estás viendo no es una autorización OAuth, revocarla desde la lista de OAuth no la solucionará.
Por qué revisar antes de revocar
Una autorización antigua puede seguir haciendo algo de lo que dependes, como una herramienta de despliegue, un plugin del editor o una integración de CI. Revocarla corta el acceso de esa app a través de la concesión, que es el objetivo, pero también puede romper un flujo de trabajo que aún depende de ella. Revisa el nombre de la app, los permisos listados y cuándo la usaste por última vez antes de actuar.
GitHub recomienda revisar las aplicaciones autorizadas, incluidas las que tienen acceso a repositorios privados. Fuente
Si no reconoces la app, o el acceso que tiene es más amplio que la tarea que realiza, ese es el caso para revocar. Si la reconoces y aún la usas, considera si los ámbitos actuales siguen siendo apropiados antes de decidir.
Lista de verificación antes y después
Usa esto como un registro breve para que puedas saber qué cambió y deshacer un error si es necesario.
Antes de revocar
- Anota el nombre de la app y los permisos que se muestran, para que puedas reconocer la misma entrada más tarde.
- Comprueba si algo que usas actualmente depende de esa app: una compilación, un despliegue, un inicio de sesión del editor, una tarea programada.
- Confirma que estás viendo Aplicaciones OAuth autorizadas y no claves SSH, sesiones o apps instaladas.
- Decide si quieres revocar una autorización específica o todas.
Después de revocar
- Recarga la página de Aplicaciones OAuth autorizadas y confirma que la entrada desapareció.
- Ejecuta una vez el flujo de trabajo que usaba la app y anota si ahora te pide que vuelvas a autorizar. Ese aviso es la señal esperada de que la concesión se eliminó.
- Si un flujo de trabajo se rompe y aún lo necesitas, vuelve a autorizar deliberadamente y revisa los ámbitos que solicita.
- Mantén tu método de recuperación de cuenta en su lugar hasta que estés seguro de que nada más dependía del acceso revocado.
Cómo revocar la autorización
Abre la Configuración de la cuenta, Aplicaciones en Integraciones, luego Aplicaciones OAuth autorizadas para revisar el acceso. Fuente
En la lista, abre el menú de la aplicación específica que quieres eliminar.
Una autorización no reconocida o desactualizada se puede revocar desde el menú de la app; la página también ofrece Revocar todo. Fuente
Revoca la entrada individual cuando solo quieras eliminar una app. La opción Revocar todo es para cuando hayas revisado la lista y quieras borrar todas las autorizaciones; afectará a todas las apps de esa página, no solo a la que estabas viendo.
Límites de fallo a tener en cuenta
- Revocar no es eliminar. Eliminar la concesión detiene el acceso futuro a través de ella. No elimina los datos que la app ya almacenó o copió fuera de GitHub, y no es una garantía de borrado.
- Revocar no es cerrar sesión. Tu sesión del navegador en GitHub es independiente; revocar una app no cierra tu sesión, y cerrar sesión no revoca las autorizaciones de apps.
- Una clave SSH no es una app OAuth. Si el acceso que te preocupa es una clave, se elimina en la configuración de Claves SSH y GPG, no en Aplicaciones OAuth autorizadas.
- Una GitHub App instalada no es la misma entrada. El acceso a nivel de instalación se gestiona donde está instalada la app, así que revisa allí si la app no aparece en la lista de OAuth.
- Una coincidencia de nombre de usuario público no es prueba. Si estás comprobando si un identificador aparece en otro lugar, una coincidencia en un perfil público es una pista, no evidencia de propiedad. TraceSeek puede buscar nombres de usuario públicos conocidos en más de 3.000 plataformas, pero no puede revisar ni revocar la configuración de GitHub por ti.
Cuándo tratar una autorización como sospechosa
No necesitas una historia dramática para actuar. Las señales prácticas son: no reconoces la app, los permisos son más amplios que la tarea que realiza, o no recuerdas haberla autorizado. En esos casos, revocar la entrada específica es un paso razonable, seguido de comprobar si algo de lo que dependes deja de funcionar. Si un flujo de trabajo se rompe, vuelve a autorizar solo después de confirmar que la app es la que esperas y que los ámbitos coinciden con lo que necesita.