Revocar sesiones y recuperar

Restablecer la contraseña cambia lo que alguien necesita para iniciar sesión; no es una garantía de que las sesiones y los tokens que ya existen se hayan cerrado. Revocar las sesiones de la persona invalida sus tokens de renovación y las cookies de sesión del navegador, y obliga a iniciar sesión de nuevo en todas las aplicaciones; la propia documentación del fabricante avisa de que puede haber un retraso de unos minutos hasta que surte efecto.

Y ninguna de las dos toca a una aplicación con su propia credencial. Para cerrar la puerta hay que cerrar los tres frentes: persona, sesiones y aplicaciones.

La revocación no es instantánea y el registro lo muestra: hay inicios no interactivos que siguen saliendo correctos unos minutos después de la acción, hasta que el primero falla con un resultado de sesión revocada. El último correcto marca el límite real de lo que pudo hacerse con la sesión antigua, y es el dato que va al informe, no la hora en que se pulsó el botón.

La tabla de acciones dice cuándo se revocaron las sesiones; la de inicios posteriores, qué pasó después.

El tiempo entre la acción y el último acierto se mide en minutos completos y sirve para dos cosas: decir cuánto se prolongó el acceso tras la contención y saber cuánto esperar antes de dar por hecho que la revocación funcionó. Se resta la hora de la acción a la hora del último acierto, ambas en UTC.

La aplicación sospechosa sigue obteniendo tokens con su credencial aunque la persona ya no tenga sesión: lo muestran las filas de entidad de servicio. Que consiga un token no dice qué pudo leer con él (eso lo dicen sus permisos y la auditoría); dice que su credencial está viva. La señal de que la contención funcionó es que esas filas pasen a fallar por credencial no válida, y esa señal llega después de una acción concreta.

Una cuenta no se da por recuperada porque alguien lo diga, sino porque el registro lo confirma: después de las acciones no hay inicios correctos de la cuenta ni de la aplicación desde el origen ajeno, durante una ventana de vigilancia que se acuerda de antemano. Mientras no se cumple, la cuenta sigue en vigilancia y se anota qué no se pudo comprobar.