Por qué un dispositivo retirado es una cuestión de acceso, no de almacenamiento
Cuando dejas de usar un teléfono, una tableta o un portátil, el dispositivo en sí deja de importar, pero el acceso que contenía no. Un cliente de Mastodon que tenía la sesión iniciada en ese dispositivo puede seguir teniendo un token de tu cuenta. La pregunta que merece la pena responder antes de que el dispositivo salga de tus manos no es “¿qué hay en el disco?” sino “¿qué puede seguir actuando como yo?”.
Esta guía separa tres acciones que es fácil confundir: cerrar la sesión de una sesión, revocar una app cliente y cambiar la contraseña de la cuenta. No son intercambiables, y hacer una no hace automáticamente las otras.
La configuración de la cuenta de Mastodon permite a los usuarios revocar sesiones activas o apps autorizadas. Fuente
La misma área de configuración de la cuenta incluye cambios de contraseña y autenticación de dos factores. Fuente
Esa es toda la imagen oficial en la que se basa esta guía. Todo lo demás que sigue es una forma de organizar tus propias decisiones, no una afirmación sobre el texto de los menús ni sobre límites de ningún servidor en particular.
Paso 1: Haz inventario del dispositivo retirado antes de deshacerte de él
Empieza por el propio dispositivo, mientras aún lo tengas en la mano. Estás creando una lista, no arreglando nada todavía.
- Abre todas las apps del dispositivo en las que alguna vez hayas iniciado sesión con tu cuenta de Mastodon. Incluye la app oficial, los clientes de terceros y cualquier cosa que te pidiera autorizar acceso.
- Anota el nombre del cliente tal como aparece en la app, no como lo recuerdas. Dos clientes del mismo desarrollador pueden parecerse en una lista.
- Anota si la app todavía se abre en tu cuenta sin pedirte que inicies sesión de nuevo. Si lo hace, está manteniendo una sesión activa.
- Anota cualquier inicio de sesión a nivel de dispositivo que hayas usado, como una sesión de navegador en la misma máquina.
- Antes de borrar o entregar el dispositivo, cierra la sesión en cada cliente que todavía puedas abrir. Esta es la primera pasada cortés y de bajo riesgo, pero trátala como mantenimiento, no como prueba de que el acceso ha desaparecido.
Un cierre de sesión realizado en un dispositivo que estás a punto de perder es el más débil de las tres acciones, porque después no puedes confirmar qué hizo el cliente con su token. Por eso el siguiente paso se realiza desde un dispositivo que conservas.
Paso 2: Revisa las sesiones y las apps autorizadas desde una cuenta que controles
Inicia sesión en tu cuenta de Mastodon desde un dispositivo que conserves. En la configuración de la cuenta, la misma área cubre sesiones activas, apps autorizadas, cambios de contraseña y autenticación de dos factores. Abre esa área y lee la lista comparándola con el inventario que acabas de escribir.
No des por hecho que la lista está ordenada de forma útil, ni que una entrada es inofensiva porque el nombre te suene. Relaciona las entradas con tu hoja de trabajo por el nombre del cliente y por cuándo usaste ese dispositivo por última vez. Si una entrada no se corresponde con nada que reconozcas, no entres en pánico: primero comprueba si corresponde a un navegador o a un cliente que olvidaste. Si aun así no encaja, trátala como desconocida y actúa en consecuencia.
Este es también el momento de confirmar que tu configuración de recuperación está intacta antes de cambiar nada. Cambiar una contraseña cuando tu única vía de recuperación es un buzón que ya no controlas es como la gente se queda fuera de su cuenta.
Paso 3: Decide qué hacer con cada entrada
Usa la hoja de trabajo que aparece a continuación. El objetivo de la tabla es evitar que recurras al martillo más grande —un cambio de contraseña— para un problema que se resuelve con una sola revocación, o que te conformes con un cierre de sesión cuando el cliente sigue autorizado.
| Cliente / sesión | ¿Sigue en uso? | Acción | Revisión |
|---|---|---|---|
| App oficial en el teléfono retirado | No | Cierra la sesión en el dispositivo si es posible, luego revoca el cliente desde la configuración de la cuenta | Confirma que la entrada ha desaparecido de la lista de autorizados |
| Cliente de terceros en la tableta retirada | No | Revoca el cliente desde la configuración de la cuenta | Confirma que la entrada ha desaparecido; vuelve a abrir la app en el dispositivo antiguo solo si aún lo tienes, para ver que ya no actúa como tú |
| Sesión de navegador de escritorio en una máquina que vas a vender | No | Cierra la sesión del navegador y luego revoca cualquier entrada de sesión restante | Inicia sesión desde tu dispositivo conservado y confirma que la sesión antigua ya no aparece |
| Cliente en tu teléfono diario actual | Sí | Consérvalo; no lo revoques | No es necesario |
| Cliente que no puedes identificar | Desconocido | Revócalo y luego observa si algún cliente deja de funcionar y vuelve a autorizarlo deliberadamente | Confirma que la entrada ha desaparecido; vuelve a autorizar solo el cliente que realmente usas |
| Cualquier entrada, tras una sospecha de compromiso | — | Cambia la contraseña y revisa la autenticación de dos factores en la misma área de configuración | Vuelve a iniciar sesión en tus dispositivos conservados y confirma que solo quedan los clientes esperados |
Una regla de decisión compacta, si quieres una sola línea: si sigue en uso, consérvalo; si no se usa, revócalo; si es desconocido, revócalo y vuelve a autorizarlo deliberadamente; si sospechas un compromiso, cambia también la contraseña.
Paso 4: Entiende qué hace realmente cada acción, y qué no hace
Estas tres acciones difieren en alcance, y ninguna de ellas es un restablecimiento general de tu presencia pública.
- Cerrar la sesión de una sesión termina ese inicio de sesión en ese dispositivo. Es la acción más limitada y la más fácil de hacer mal, porque un cliente puede tener la sesión cerrada localmente mientras sigue autorizado a nivel de cuenta.
- Revocar una app cliente retira la autorización de esa app. Es la herramienta adecuada para un cliente en un dispositivo que estás retirando. No es lo mismo que eliminar la app del dispositivo, y eliminar la app no es lo mismo que revocarla.
- Cambiar la contraseña es una acción de cuenta más amplia. Corresponde a una sospecha de compromiso, no como sustituto de revisar la lista de autorizados.
Tres límites merecen decirse con claridad, porque son fuentes comunes de falsa confianza:
- Revocar el acceso no elimina las publicaciones que ya has publicado. Tu perfil público y tu historial de publicaciones son un asunto aparte de la autorización de apps.
- Revocar el acceso no cambia tu identificador. Tu nombre de usuario es un atributo de la cuenta, no un permiso de cliente.
- Revocar el acceso en tu cuenta no afecta a las cuentas que tengas en otros servidores. La configuración de la cuenta de cada servidor gobierna la cuenta de ese servidor.
Errores comunes
- Tratar un cierre de sesión como una revocación. Cerrar la sesión en el dispositivo que estás a punto de perder te dice poco sobre lo que el cliente sigue conservando. Revoca desde el lado de la cuenta.
- Eliminar la app y darlo por terminado. Quitar una app de un dispositivo no retira su autorización a nivel de cuenta.
- Cambiar la contraseña primero y revisar después. Un cambio de contraseña es una acción amplia. Revisa primero la lista de autorizados para saber qué estás restableciendo y poder confirmar el resultado después.
- Revocar todo en un ataque de pánico. Romperás clientes que usas y luego los volverás a autorizar con prisa, que es como se acumulan los errores. Usa la hoja de trabajo.
- Suponer que una entrada desconocida es un intruso. Puede ser un navegador o un cliente olvidado. Investiga antes de concluir, pero no dejes una entrada desconocida en su sitio mientras investigas.
- Suponer que la revocación oculta tus publicaciones públicas. No lo hace. Si tu preocupación es la visibilidad pública y no el acceso de apps, esa es otra tarea: consulta la guía existente sobre cómo ocultar tu red de Mastodon y revisar las preferencias de indexación en buscadores.
- Olvidar la autenticación de dos factores. Está en la misma área de configuración que las sesiones y los cambios de contraseña. Revísala en la misma pasada, no como una ocurrencia tardía.
Protege tu propia huella después de que el dispositivo desaparezca
Una vez que el dispositivo retirado ya no está en tus manos, el trabajo restante tiene que ver con la superficie pública y no con el acceso de apps. Merece la pena separar dos cosas en tu cabeza:
Los identificadores públicos son pistas, no pruebas. Si buscas un nombre de usuario y encuentras identificadores, fotos o biografías coincidentes en varias plataformas, eso es un conjunto de pistas. No es evidencia de que las cuentas pertenezcan a una misma persona. La gente reutiliza identificadores, copia biografías y comparte fotos de perfil; el mismo identificador en dos plataformas puede pertenecer a dos personas distintas. Trata cada coincidencia como algo que hay que corroborar, nunca como una identificación.
Una búsqueda de nombre de usuario no es un inventario de cuentas. Buscar un identificador te dice dónde aparece esa cadena públicamente. No enumera todas las cuentas que tiene una persona, ni te dice qué cuentas están activas, inactivas o renombradas. Si estás revisando tu propia huella, empieza por los identificadores que sabes que has usado y comprueba cada uno deliberadamente.
Si quieres un punto de partida para esa autorrevisión, TraceSeek comprueba un nombre de usuario en más de 3.000 plataformas y devuelve coincidencias públicas en aproximadamente 20–30 segundos, con un primer escaneo gratuito. Informa de lo que es visible públicamente; no cambia la configuración de ninguna plataforma, no garantiza una coincidencia ni verifica la identidad de nadie. Para saber cómo deben interpretarse las coincidencias, consulta la página de metodología.
Datos clave
- La configuración de la cuenta de Mastodon permite a los usuarios revocar sesiones activas o apps autorizadas.
- La misma área de configuración de la cuenta incluye cambios de contraseña y autenticación de dos factores.
- Cerrar la sesión de una sesión, revocar una app cliente y cambiar la contraseña son acciones distintas con alcances diferentes.
- Revocar el acceso de una app no elimina las publicaciones ya publicadas, no cambia un identificador ni afecta a las cuentas en otros servidores.
- Una coincidencia pública de nombre de usuario es una pista que hay que corroborar, no una prueba de que las cuentas pertenezcan a la misma persona.