Verifica che una sessione revocata sia terminata

Quando la revoca di una sessione riesce, la riga del browser viene rimossa oppure la famiglia di token mobile viene contrassegnata come revocata. Si avvia poi l’invalidazione della cache di autenticazione corrispondente. Un altro worker isolate già attivo o una cache periferica può conservare brevemente l’autorizzazione. Non puoi revocare la credenziale usata per effettuare la richiesta.

Passaggi

1. Sul dispositivo attendibile, ricarica Profilo → Sessioni dopo la revoca e controlla che la riga interessata non compaia più.
2. Se hai usato Revoca tutte le altre sessioni, verifica che nell’elenco resti Attuale. Potrebbero rimanere anche le estensioni collegate alla sessione da cui hai richiesto la revoca, perché rappresentano lo stesso dispositivo.
3. Sul dispositivo revocato, aggiorna una pagina privata o prova un’altra azione autenticata. Una schermata già caricata può rimanere visibile fino al contatto con il server: la sola visibilità non dimostra l’accesso.
4. Dopo la propagazione dell’invalidazione della cache, una nuova richiesta dovrebbe richiedere l’accesso o restituire un errore di autenticazione. Un telefono revocato perde la sua famiglia di token, incluse le credenziali collegate dell’estensione File.
5. Controlla l’avviso nell’app o la notifica push A session was signed out. Identifica la sessione interessata in base al browser e al sistema operativo salvati, al tempo trascorso e alla posizione, oppure all’IP se la posizione manca; questo evento ordinario non viene notificato via email.
6. Se una riga ricompare dopo un nuovo accesso, confronta il nuovo orario. Un accesso legittimo crea una nuova credenziale.

Dopo la propagazione dell’invalidazione della cache, la revoca impedisce i successivi accessi al server, ma non può eliminare i contenuti già nella cache o scaricati sul dispositivo. Se temi che qualcuno abbia il dispositivo, usa la cancellazione remota del dispositivo.

Risultato previsto

La voce revocata non compare nell’elenco aggiornato. Dopo la propagazione dell’invalidazione della cache, la vecchia credenziale non consente nuove richieste autenticate ed è necessario accedere di nuovo. L’avviso per un singolo dispositivo descrive la credenziale revocata, non il dispositivo attendibile da cui hai avviato la revoca; la revoca multipla indica invece il numero complessivo di dispositivi.

Guide correlate

• Controllare le sessioni attive
• Revocare le altre sessioni