O que esta tarefa realmente envolve
Revogar uma sessão antiga do GitLab parece um clique único, mas na verdade é uma tarefa de revisão com dois efeitos separados. Um efeito fica limitado à sessão que você seleciona. O outro vai além dessa sessão e encerra os tokens de login lembrado em todos os lugares. Entender os dois antes de clicar evita que você se tranque para fora ou presuma que foi limpo mais do que realmente foi.
Este guia cobre apenas a lista de sessões do próprio proprietário. Não cobre administração de servidor, comandos do console Rails nem alterações na conta de outra pessoa.
Etapa 1: Chegar à lista de sessões e lê-la antes de agir
Um proprietário do GitLab pode abrir Editar perfil, Acesso, Sessões ativas e revogar uma sessão indesejada.
Um proprietário do GitLab pode abrir Editar perfil, Acesso, Sessões ativas e revogar uma sessão indesejada. Fonte
Antes de revogar qualquer coisa, trate a lista como algo para ler, não apenas para limpar. Para cada entrada, anote o que você consegue ver de fato: a descrição do dispositivo ou navegador, quando a sessão esteve ativa pela última vez e se você a reconhece como sua. Uma sessão que você não reconhece é motivo para olhar com mais atenção, não prova automática de que outra pessoa tem sua senha. Computadores compartilhados, celulares antigos e navegadores que você não usa mais podem todos gerar entradas que parecem desconhecidas.
Uma ordem prática é:
- Identifique a sessão que você está usando agora, para saber qual entrada deve permanecer.
- Marque as entradas que você não consegue explicar.
- Decida se o problema é uma sessão obsoleta ou uma preocupação mais ampla com logins lembrados.
- Só então revogue.
Etapa 2: Saber o que a sessão atual não faz
A sessão ativa atual não é revogada por essa ação.
A sessão ativa atual não é revogada por essa ação. Fonte
Este é o detalhe que mais provavelmente causa confusão. Revogar uma sessão antiga não desconecta você do navegador em que está trabalhando. Isso é conveniente, porque significa que a ação de limpeza não interrompe a própria revisão. Também significa que, se seu objetivo é encerrar a sessão que você está usando agora, revogar outra entrada não vai conseguir isso. Sair da sessão atual é uma ação separada de revogar uma sessão listada.
Etapa 3: Considerar o efeito mais amplo do login lembrado
Revogar qualquer sessão também revoga os tokens de “Lembrar de mim” em todos os dispositivos.
Revogar qualquer sessão também revoga os tokens de “Lembrar de mim” em todos os dispositivos. Fonte
Esta é a parte que muda o escopo da tarefa. Você pode querer remover uma entrada antiga, mas o efeito sobre os logins lembrados é mais amplo do que essa única entrada. Se outros dispositivos dependem de logins lembrados, espere que esses logins lembrados terminem e planeje entrar novamente nesses dispositivos com credenciais que você ainda controla.
Essa etapa de planejamento importa. Antes de revogar, confirme que você ainda consegue entrar por um método que controla, como sua senha ou outro caminho de recuperação já configurado na conta. Não remova nem substitua seu método de recuperação como parte desta limpeza. Mantenha-o no lugar até confirmar que a conta está no estado que você deseja.
Tabela de decisão: uma sessão ou uma redefinição mais ampla de logins lembrados
| O que você observou | O que a revogação faz | O que planejar |
|---|---|---|
| Uma sessão obsoleta que você reconhece como um dispositivo antigo seu | Encerra essa sessão; a sessão atual continua ativa; os tokens de “Lembrar de mim” terminam em todos os dispositivos | Entrar novamente em qualquer dispositivo que dependia de um login lembrado |
| Uma sessão que você não consegue explicar | O mesmo que acima | Trate como um alerta para revisar a segurança do seu login, não como prova de invasão |
| Você quer encerrar a sessão que está usando agora | Revogar uma sessão listada não faz isso | Sair da sessão atual separadamente |
| Várias entradas desconhecidas | Cada revogação carrega o mesmo efeito mais amplo sobre logins lembrados | Decida se revogações repetidas são necessárias e mantenha seu caminho de recuperação intacto |
Etapa 4: Verificar o resultado com honestidade
A lista de sessões é o lugar para confirmar o que mudou. Verifique se a entrada que você visou sumiu e se a sessão que você está usando continua presente. Depois, verifique os dispositivos que você esperava que fossem afetados pela mudança de login lembrado e entre novamente onde for necessário.
Cuidado com o que a lista pode e não pode lhe dizer. Uma entrada desaparecer da lista mostra que a sessão foi revogada. Isso, por si só, não diz por que a sessão existia, quem a usou ou se qualquer outra coisa na conta mudou. Se você revogou uma sessão porque não a reconheceu, o acompanhamento sensato é revisar a segurança do seu login, em vez de presumir que o assunto está encerrado.
Caminhos comuns de falha
- Revogar a sessão em que você está trabalhando por engano. A sessão atual não é revogada por essa ação, então esse erro específico não acontece; mas sair separadamente interromperá sua revisão. Termine a revisão antes de sair.
- Presumir que uma revogação limpou todos os dispositivos. O efeito do login lembrado é mais amplo do que a sessão única, mas a lista de sessões ainda não é um retrato completo de todos os lugares em que você já entrou.
- Remover seu método de recuperação cedo demais. Mantenha um caminho de recuperação que você controla até confirmar que a conta está no estado que você deseja.
- Tratar uma entrada desconhecida como invasão comprovada. É uma pista para revisão adicional, não uma conclusão.
Uma próxima tarefa útil
As sessões do GitLab são uma conta. Se sua preocupação é mais ampla, a mesma disciplina de separar uma sessão de uma pessoa se aplica em outros lugares. O guia sobre revisar dispositivos da conta Google sem confundir sessões com pessoas percorre essa distinção para uma conta diferente, e é um acompanhamento natural depois que você terminar aqui.
Se parte da sua preocupação é a que um nome de usuário está vinculado publicamente, uma busca de nome de usuário pode mostrar correspondências públicas como pistas. O TraceSeek cobre mais de 3.000 plataformas, e a primeira varredura é gratuita e leva de 20 a 30 segundos. Correspondências públicas são pistas, não prova de propriedade, e uma busca de nome de usuário não é um inventário completo de contas.