Qué estás eliminando realmente
Un token de acceso personal (PAT) es una credencial entre varias que pueden actuar en tu cuenta de GitHub. Antes de eliminar cualquier cosa, conviene saber qué tipo de credencial estás viendo, porque los pasos de eliminación y los efectos secundarios difieren.
| Credencial | Qué hace normalmente | Dónde se gestiona | Qué afecta su eliminación |
|---|---|---|---|
| Token de acceso personal (de grano fino o clásico) | Permite que scripts, herramientas o CI actúen en tu nombre con permisos limitados | Configuración → Configuración de desarrollador → Tokens de acceso personal | Cualquier cosa que aún use ese token, además de cualquier clave de despliegue que el token haya creado |
| Autorización OAuth | Una aplicación de terceros que aprobaste para actuar en tu cuenta | Configuración → Aplicaciones (aplicaciones OAuth autorizadas) | El acceso de esa aplicación; la aplicación en sí no se elimina |
| Clave de cuenta SSH | Autentica operaciones Git a través de SSH para tu cuenta | Configuración → Claves SSH y GPG | El acceso SSH que dependa de esa clave |
| Sesión de navegador | Una sesión activa con la sesión iniciada en un navegador | Controles de cierre de sesión y configuración de sesiones | Solo esa sesión; no es un token ni una clave |
Este artículo cubre la primera fila. Las otras filas se incluyen para que no confundas una con otra: eliminar una autorización OAuth o una clave SSH no elimina un token de acceso personal, y eliminar un token no revoca claves SSH ni finaliza sesiones de navegador.
Paso 1: Crea un inventario de tokens sin exponer valores
El objetivo es una lista de nombres de tokens y dónde se usa cada uno, no una lista de cadenas de tokens. Trata el valor del token como un secreto que nunca copias en notas, tickets o chats.
- Abre la configuración de tu cuenta de GitHub y ve a Configuración de desarrollador, luego a Tokens de acceso personal. Revisa tanto Tokens de grano fino como Tokens clásicos, ya que los dos tipos se listan por separado.
- Para cada token, registra solo: el nombre del token, su tipo (de grano fino o clásico) y cualquier nota que GitHub muestre sobre su propósito o caducidad.
- Para cada token, anota dónde crees que se usa: un trabajo de CI, un script de despliegue, una herramienta local, una tarea programada, una integración de terceros o ningún lugar que recuerdes.
- Marca los tokens que no puedas ubicar. Un token no ubicado es candidato a revisión, no a eliminación automática; algo puede seguir dependiendo de él.
Una tabla de trabajo sencilla es suficiente:
| Nombre del token | Tipo | Consumidor conocido | Último uso conocido | Decisión |
|---|---|---|---|---|
| ejemplo-despliegue | De grano fino | Trabajo de despliegue de CI | Desconocido | Revisar el trabajo antes de eliminar |
| ejemplo-script-antiguo | Clásico | Ninguno encontrado | Antiguo | Verificar y luego eliminar |
No pegues valores de tokens en esta tabla. Si un consumidor almacena el token, revisa la configuración propia de ese sistema en lugar de volver a leer el secreto.
Paso 2: Revisa la automatización dependiente antes de eliminar
Eliminar un token rompe todo lo que aún se autentique con él. Antes de eliminar, confirma cada consumidor conocido:
- Busca en tu configuración de CI, scripts de despliegue y tareas programadas referencias al nombre del token o a la entrada del almacén de secretos que lo contiene.
- Comprueba si los permisos del token coinciden con lo que necesita el consumidor. Un token que parece no usarse puede ser la única credencial funcional para una tarea pequeña.
- Decide por token: conservar, reemplazar por una credencial más limitada o eliminar. Si no puedes confirmar un consumidor, detente en lugar de adivinar.
GitHub documenta una dependencia específica que conviene revisar primero: un token de acceso personal que creó una clave de despliegue está vinculado a esa clave de despliegue.
GitHub advierte que eliminar un token de acceso personal que creó una clave de despliegue también elimina esa clave de despliegue. Fuente
Esa advertencia es limitada. Se aplica a las claves de despliegue creadas por ese token. No es una afirmación de que eliminar cualquier token afecte a todas las claves SSH, a todas las claves de despliegue o a todas las integraciones de la cuenta. Revisa el historial del token específico y las claves de despliegue del repositorio en lugar de suponer un efecto amplio.
Paso 3: Elimina el token
Cuando hayas confirmado que un token es seguro de eliminar, la ruta documentada por GitHub es:
La ruta de eliminación de tokens de acceso personal de GitHub es Configuración, Configuración de desarrollador, Tokens de acceso personal, luego Tokens de grano fino o Tokens clásicos y Eliminar. Fuente
Después de la eliminación, verifica el resultado en lugar de suponer que funcionó:
- Confirma que el token ya no aparece en la lista de su tipo.
- Ejecuta o activa la automatización que identificaste como consumidora y comprueba si aún se autentica. Si falla, has encontrado una dependencia que pasaste por alto; restaura el acceso con una nueva credencial que controles en lugar de reutilizar el valor antiguo.
- Si el token eliminado había creado una clave de despliegue, revisa las claves de despliegue del repositorio para confirmar que se produjo la eliminación documentada y que no se vio afectada ninguna otra clave.
Rutas de fallo para las que planificar
| Situación | Qué hacer |
|---|---|
| Un trabajo de CI falla después de la eliminación | Identifica qué secreto usaba, confirma el propietario del trabajo y emite una credencial de reemplazo mediante tu proceso habitual |
| No puedes encontrar el consumidor de un token | No elimines por suposición; busca primero en archivos de configuración y almacenes de secretos, y conserva el token hasta que puedas confirmarlo |
| Una clave de despliegue desapareció | Esta es la consecuencia documentada cuando el token la creó; vuelve a crear la clave deliberadamente si el repositorio aún la necesita |
| No estás seguro de si la credencial es un token o una aplicación OAuth | Revisa la sección de configuración en la que aparece; las dos se gestionan por separado |
Qué no cubre esta lista de comprobación
Esta guía no describe la rotación de credenciales, la emisión de nuevos tokens ni el cambio de permisos; esos pasos dependen de tu propia configuración y de la interfaz actual de GitHub, que debes confirmar en el momento de actuar. Tampoco cubre la eliminación de autorizaciones OAuth, claves de cuenta SSH o sesiones de navegador, más allá de señalar que son independientes. Eliminar un token suprime esa credencial; por sí solo no demuestra que se hayan borrado los datos que pueda tener un servicio conectado.
Dónde encaja una búsqueda de nombre de usuario y dónde no
Si tu limpieza forma parte de una revisión más amplia de lo que es visible públicamente bajo un nombre de usuario, TraceSeek es una aplicación independiente que comprueba nombres de usuario públicos conocidos en más de 3.000 plataformas. Informa de coincidencias públicas, que son pistas y no prueba de propiedad, y no puede iniciar sesión en cuentas, cambiar la configuración de la cuenta, eliminar tokens ni verificar la identidad real de nadie. No es una herramienta para acceder a cuentas privadas ni para garantizar la eliminación de nada. Para la tarea del token en este artículo, el trabajo se realiza en la configuración de tu GitHub, no en una aplicación de búsqueda.