Qué implica realmente esta tarea
Revocar una sesión antigua de GitLab parece un solo clic, pero en realidad es una tarea de revisión con dos efectos distintos. Un efecto se limita a la sesión que seleccionas. El otro va más allá de esa sesión y finaliza los tokens de inicio de sesión recordado en todas partes. Entender ambos antes de hacer clic evita que te bloquees a ti mismo o que asumas que se limpió más de lo que realmente se hizo.
Esta guía solo cubre la lista de sesiones del propio propietario. No cubre la administración del servidor, los comandos de la consola de Rails ni cambios en la cuenta de otra persona.
Paso 1: Llegar a la lista de sesiones y leerla antes de actuar
Un propietario de GitLab puede abrir Editar perfil, Acceso, Sesiones activas y revocar una sesión no deseada.
Un propietario de GitLab puede abrir Editar perfil, Acceso, Sesiones activas y revocar una sesión no deseada. Fuente
Antes de revocar nada, trata la lista como algo que hay que leer, no solo como algo que hay que vaciar. Para cada entrada, anota lo que realmente puedes ver: la descripción del dispositivo o navegador, cuándo estuvo activa la sesión por última vez y si la reconoces como tuya. Una sesión que no reconoces es un motivo para mirar más de cerca, no una prueba automática de que otra persona tenga tu contraseña. Los ordenadores compartidos, los teléfonos antiguos y los navegadores que ya no usas pueden producir entradas que parecen desconocidas.
Un orden práctico es:
- Identifica la sesión que estás usando ahora mismo, para saber qué entrada debe permanecer.
- Marca las entradas que no puedas justificar.
- Decide si el problema es una sesión obsoleta o una preocupación más amplia sobre los inicios de sesión recordados.
- Solo entonces revoca.
Paso 2: Saber qué no hace la sesión actual
La sesión activa actual no se revoca mediante esa acción.
La sesión activa actual no se revoca mediante esa acción. Fuente
Este es el detalle que más probablemente cause confusión. Revocar una sesión antigua no te cierra la sesión en el navegador en el que estás trabajando. Eso es conveniente, porque significa que la acción de limpieza no interrumpe la revisión en sí. También significa que, si tu objetivo es finalizar la sesión que estás usando actualmente, revocar otra entrada no lo logrará. Cerrar la sesión actual es una acción distinta de revocar una entrada de la lista.
Paso 3: Tener en cuenta el efecto más amplio sobre el inicio de sesión recordado
Revocar cualquier sesión también revoca los tokens Remember me en todos los dispositivos.
Revocar cualquier sesión también revoca los tokens Remember me en todos los dispositivos. Fuente
Esta es la parte que cambia el alcance de la tarea. Puede que tengas la intención de eliminar una entrada antigua, pero el efecto sobre los inicios de sesión recordados es más amplio que esa única entrada. Si otros dispositivos dependen de inicios de sesión recordados, espera que esos inicios de sesión recordados finalicen y planifica volver a iniciar sesión en esos dispositivos con credenciales que aún controles.
Ese paso de planificación importa. Antes de revocar, confirma que aún puedes iniciar sesión mediante un método que controles, como tu contraseña u otra vía de recuperación ya configurada en la cuenta. No elimines ni reemplaces tu método de recuperación como parte de esta limpieza. Mantenlo en su lugar hasta que hayas confirmado que la cuenta está en el estado que deseas.
Tabla de decisión: una sesión o un restablecimiento más amplio del inicio de sesión recordado
| Lo que observaste | Qué hace la revocación | Qué planificar |
|---|---|---|
| Una sesión obsoleta que reconoces como un dispositivo antiguo tuyo | Finaliza esa sesión; la sesión actual sigue activa; los tokens Remember me finalizan en todos los dispositivos | Vuelve a iniciar sesión en cualquier dispositivo que dependiera de un inicio de sesión recordado |
| Una sesión que no puedes justificar | Igual que arriba | Trátala como un motivo para revisar la seguridad de tu inicio de sesión, no como prueba de una brecha |
| Quieres finalizar la sesión que estás usando ahora | Revocar una sesión de la lista no hace esto | Cierra la sesión actual por separado |
| Varias entradas desconocidas | Cada revocación conlleva el mismo efecto más amplio sobre el inicio de sesión recordado | Decide si necesitas revocaciones repetidas y mantén intacta tu vía de recuperación |
Paso 4: Verificar el resultado con honestidad
La lista de sesiones es el lugar para confirmar qué cambió. Comprueba que la entrada que tenías como objetivo ya no está y que la sesión que estás usando sigue presente. Luego revisa los dispositivos que esperabas que se vieran afectados por el cambio en el inicio de sesión recordado y vuelve a iniciar sesión donde sea necesario.
Ten cuidado con lo que la lista puede y no puede decirte. Que una entrada desaparezca de la lista muestra que la sesión fue revocada. Por sí solo, no te dice por qué existía la sesión, quién la usó ni si algo más en la cuenta cambió. Si revocaste una sesión porque no la reconociste, el seguimiento sensato es revisar la seguridad de tu inicio de sesión en lugar de asumir que el asunto está cerrado.
Errores comunes
- Revocar por error la sesión en la que estás trabajando. La sesión actual no se revoca mediante esa acción, así que este error concreto no es lo que ocurre; pero cerrar la sesión por separado interrumpirá tu revisión. Termina la revisión antes de cerrar la sesión.
- Asumir que una revocación limpió todos los dispositivos. El efecto sobre el inicio de sesión recordado es más amplio que la sesión única, pero la lista de sesiones sigue sin ser una imagen completa de todos los lugares en los que alguna vez has iniciado sesión.
- Eliminar tu método de recuperación demasiado pronto. Mantén una vía de recuperación que controles hasta que hayas confirmado que la cuenta está en el estado que deseas.
- Tratar una entrada desconocida como una intrusión probada. Es una pista para seguir revisando, no una conclusión.
Una tarea útil a continuación
Las sesiones de GitLab son una cuenta. Si tu preocupación es más amplia, la misma disciplina de separar una sesión de una persona se aplica en otros lugares. La guía sobre revisar los dispositivos de una cuenta de Google sin confundir sesiones con personas explica esa distinción para una cuenta diferente, y es un seguimiento natural una vez que hayas terminado aquí.
Si parte de tu preocupación es a qué está vinculado públicamente un nombre de usuario, una búsqueda de nombre de usuario puede mostrar coincidencias públicas como pistas. TraceSeek cubre más de 3.000 plataformas, y el primer escaneo es gratis y tarda 20–30 segundos. Las coincidencias públicas son pistas, no prueba de propiedad, y una búsqueda de nombre de usuario no es un inventario completo de cuentas.