Protonmail: cómo revocar sesiones antiguas

Cuando inicia sesión en un sitio web, se crea una sesión. Las sesiones se administran en los dispositivos mediante el uso de tokens de sesión o cookies, que son solo un identificador que su dispositivo proporciona al sitio web para que sepa qué dispositivo está realizando la solicitud. Cuando el sitio web ve el identificador, sabe que se refiere a una sesión específica y lo mantiene conectado.

Consejo: por eso es importante mantener la privacidad de los tokens de sesión. Si un atacante puede acceder a un token de sesión, puede proporcionarlo al servidor y no puede decir que el atacante no es legítimo a menos que se utilicen otros métodos de verificación en conjunto.

Los tokens de sesión a menudo se crean con un tiempo de vencimiento, por lo que su sesión no es válida para siempre. Esto ayuda a reducir el riesgo de que un atacante ponga en peligro cualquier token de sesión único mientras aún es válido y reduce el requisito del servidor de realizar un seguimiento de todos los tokens de sesión válidos.

Normalmente, los tokens de sesión también caducan cuando se hace clic en el botón "Salir"; sin embargo, algunos sitios web no lo hacen correctamente y, por lo tanto, es posible utilizar un token de sesión antiguo incluso después de que el usuario haya cerrado la sesión.

protonmail expira automáticamente los tokens de sesión después de dos semanas de inactividad o después de seis meses, aunque cambiar la contraseña restablece explícitamente el temporizador de seis meses. Para ayudarlo a administrar manualmente el riesgo de que las sesiones válidas se vean comprometidas, ProtonMail le permite ver una lista de todas las sesiones válidas actualmente y finalizarlas.

Para acceder a la lista de sesiones, haga clic en "Configuración" en la barra superior, luego vaya a la pestaña "Seguridad". Puede encontrar la sección "Gestión de sesiones" a la derecha de la ventana. Aquí puede ver una lista de todas las sesiones válidas actualmente, a qué plataforma se refieren, a qué cuenta de usuario pertenecen y cuándo se crearon. Puede eliminar sesiones individuales haciendo clic en el enlace "Revocar" correspondiente o revocar todas ellas haciendo clic en "Revocar todas las demás sesiones". Ambas opciones requerirán que vuelva a ingresar su contraseña para confirmar la legitimidad de la solicitud.