Cosa comporta davvero questa operazione
Revocare una vecchia sessione GitLab sembra un solo clic, ma in realtà è un’operazione di verifica con due effetti distinti. Un effetto è limitato alla sessione che selezioni. L’altro va oltre quella sessione e termina i token di accesso memorizzato ovunque. Capire entrambi prima di cliccare ti evita di chiuderti fuori o di dare per scontato che sia stato ripulito più di quanto sia realmente accaduto.
Questa guida riguarda solo l’elenco delle sessioni del proprietario stesso. Non copre l’amministrazione del server, i comandi della console Rails o modifiche all’account di altre persone.
Passo 1: raggiungere l’elenco delle sessioni e leggerlo prima di agire
Un proprietario GitLab può aprire Modifica profilo, Accesso, Sessioni attive e revocare una sessione indesiderata.
Un proprietario GitLab può aprire Modifica profilo, Accesso, Sessioni attive e revocare una sessione indesiderata. Fonte
Prima di revocare qualsiasi cosa, considera l’elenco come qualcosa da leggere, non solo da svuotare. Per ogni voce, annota ciò che riesci effettivamente a vedere: la descrizione del dispositivo o del browser, quando la sessione è stata attiva l’ultima volta e se la riconosci come tua. Una sessione che non riconosci è un motivo per guardare più attentamente, non una prova automatica che qualcun altro abbia la tua password. Computer condivisi, telefoni più vecchi e browser che non usi più possono tutti produrre voci che sembrano estranee.
Un ordine pratico è:
- Individua la sessione che stai usando in questo momento, così sai quale voce deve restare.
- Segna le voci che non riesci a giustificare.
- Decidi se il problema è una singola sessione obsoleta o una preoccupazione più ampia sugli accessi memorizzati.
- Solo allora revoca.
Passo 2: sapere cosa non fa la sessione corrente
La sessione attiva corrente non viene revocata tramite quell’azione.
La sessione attiva corrente non viene revocata tramite quell’azione. Fonte
Questo è il dettaglio che più facilmente genera confusione. Revocare una vecchia sessione non ti disconnette dal browser in cui stai lavorando. È comodo, perché significa che l’azione di pulizia non interrompe la verifica stessa. Significa anche che, se il tuo obiettivo è terminare la sessione che stai usando in questo momento, revocare un’altra voce non lo otterrà. Disconnettersi dalla sessione corrente è un’azione separata dalla revoca di una voce elencata.
Passo 3: tenere conto dell’effetto più ampio sugli accessi memorizzati
Revocare qualsiasi sessione revoca anche i token Remember me su tutti i dispositivi.
Revocare qualsiasi sessione revoca anche i token Remember me su tutti i dispositivi. Fonte
Questa è la parte che cambia la portata dell’operazione. Potresti voler rimuovere una vecchia voce, ma l’effetto sugli accessi memorizzati è più ampio di quella singola voce. Se altri dispositivi si affidano agli accessi memorizzati, aspettati che quegli accessi terminino, e preparati ad accedere di nuovo su quei dispositivi con credenziali che controlli ancora.
Questo passo di pianificazione è importante. Prima di revocare, conferma di poter ancora accedere tramite un metodo che controlli, come la password o un altro percorso di recupero già impostato sull’account. Non rimuovere o sostituire il tuo metodo di recupero come parte di questa pulizia. Lascialo in vigore finché non hai confermato che l’account è nello stato che desideri.
Tabella decisionale: una sessione o un ripristino più ampio degli accessi memorizzati
| Cosa hai osservato | Cosa fa la revoca | Cosa pianificare |
|---|---|---|
| Una sessione obsoleta che riconosci come un tuo vecchio dispositivo | Termina quella sessione; la sessione corrente resta attiva; i token Remember me terminano su tutti i dispositivi | Accedi di nuovo su qualsiasi dispositivo che si affidava a un accesso memorizzato |
| Una sessione che non riesci a giustificare | Come sopra | Trattala come uno spunto per rivedere la sicurezza dei tuoi accessi, non come prova di una violazione |
| Vuoi terminare la sessione che stai usando ora | Revocare una sessione elencata non lo fa | Disconnettiti dalla sessione corrente separatamente |
| Diverse voci sconosciute | Ogni revoca comporta lo stesso effetto più ampio sugli accessi memorizzati | Decidi se servono revoche ripetute e mantieni intatto il tuo percorso di recupero |
Passo 4: verificare il risultato con onestà
L’elenco delle sessioni è il posto dove confermare cosa è cambiato. Controlla che la voce che hai preso di mira sia sparita e che la sessione che stai usando sia ancora presente. Poi controlla i dispositivi che ti aspettavi fossero interessati dal cambiamento degli accessi memorizzati e accedi di nuovo dove serve.
Fai attenzione a cosa l’elenco può e non può dirti. Una voce che scompare dall’elenco mostra che la sessione è stata revocata. Non ti dice, di per sé, perché la sessione esisteva, chi l’ha usata o se qualcos’altro sull’account è cambiato. Se hai revocato una sessione perché non la riconoscevi, il seguito sensato è rivedere la sicurezza dei tuoi accessi, non dare per chiusa la questione.
Percorsi di errore comuni
- Revocare per sbaglio la sessione in cui stai lavorando. La sessione corrente non viene revocata tramite quell’azione, quindi questo errore specifico non si verifica; ma disconnettersi separatamente interromperà la tua verifica. Completa la verifica prima di disconnetterti.
- Dare per scontato che una revoca abbia ripulito ogni dispositivo. L’effetto sugli accessi memorizzati è più ampio della singola sessione, ma l’elenco delle sessioni non è comunque un quadro completo di ogni luogo in cui ti sei mai connesso.
- Rimuovere troppo presto il tuo metodo di recupero. Mantieni un percorso di recupero che controlli finché non hai confermato che l’account è nello stato che desideri.
- Trattare una voce sconosciuta come intrusione dimostrata. È uno spunto per ulteriori verifiche, non una conclusione.
Un’attività successiva utile
Le sessioni GitLab riguardano un solo account. Se la tua preoccupazione è più ampia, la stessa disciplina di separare una sessione da una persona vale anche altrove. La guida su rivedere i dispositivi dell’account Google senza confondere le sessioni con le persone illustra questa distinzione per un altro account, ed è un seguito naturale una volta terminato qui.
Se parte della tua preoccupazione riguarda ciò a cui un nome utente è collegato pubblicamente, una ricerca per nome utente può mostrare corrispondenze pubbliche come spunti. TraceSeek copre 3.000+ piattaforme, e la prima scansione è gratuita e richiede 20-30 secondi. Le corrispondenze pubbliche sono spunti, non prova di proprietà, e una ricerca per nome utente non è un inventario completo dell’account.