Una cuenta puede seguir abierta mucho después de la última vez que recuerdas haber escrito su contraseña. Tal vez iniciaste sesión en una laptop anterior, utilizaste una tableta durante un viaje o abriste el correo en una computadora compartida y después simplemente cerraste la pestaña. Meses más tarde, al revisar la seguridad de la cuenta, aparece aquel dispositivo junto con otros que sí utilizas todos los días. Algunas entradas son completamente normales; otras merecen atención. La dificultad está en distinguirlas sin asumir que cualquier nombre extraño o ubicación aproximada significa que alguien entró a tu cuenta.
Una sesión abierta no es lo mismo que una contraseña guardada
Cuando escribes correctamente tu usuario y contraseña, el servicio comprueba tus credenciales. Después necesita alguna forma de recordar que ya superaste esa comprobación; de lo contrario, tendría que pedirte la contraseña cada vez que cambias de página o realizas una acción.
En la Web, las cookies pueden formar parte de ese mecanismo. MDN Web Docs explica que uno de sus usos habituales es precisamente mantener una sesión iniciada y relacionar distintas solicitudes con el mismo usuario. Las aplicaciones móviles utilizan mecanismos equivalentes para conservar el estado de acceso durante un periodo determinado.
Esto ayuda a separar dos momentos que suelen mezclarse en una misma idea. Primero ocurre la autenticación: el servicio decide si las credenciales permiten entrar. Después existe una sesión autorizada que puede continuar funcionando sin que vuelvas a escribir la contraseña en cada uso.
Cerrar una pestaña no necesariamente termina esa sesión. Apagar la pantalla del celular tampoco. Incluso cerrar completamente el navegador puede no producir siempre el efecto que una persona imagina, ya que los sitios y navegadores administran la duración de las sesiones de distintas maneras.
Aquí se conecta el tema con las cookies del navegador, que ya vimos en otro artículo de Skydutz. Algunas cookies sirven para conservar información relacionada con una sesión y otras tienen finalidades completamente diferentes. Borrar los datos de un sitio puede provocar que tengas que iniciar sesión otra vez, aunque no sea equivalente a cerrar remotamente todos los accesos existentes a una cuenta.
Una contraseña guardada es otra cosa. El navegador o un administrador de contraseñas puede conservar la credencial para rellenarla en el futuro; una sesión abierta, en cambio, significa que el servicio ya reconoció un acceso y sigue aceptándolo bajo determinadas condiciones.
La diferencia importa cuando utilizaste una computadora que ya no tienes.
Supongamos que entraste a tu correo desde una laptop prestada y permitiste que el navegador mantuviera la sesión. Haber regresado a casa no cambia por sí mismo el estado de ese dispositivo. Si la sesión sigue válida, alguien que tenga acceso a la computadora podría encontrar la cuenta abierta sin conocer tu contraseña.
Muchos servicios permiten resolver justamente ese escenario desde la configuración de seguridad de la propia cuenta. Allí puedes revisar dispositivos, sesiones o actividad reciente y cerrar accesos de forma remota.
Sin embargo, cada plataforma organiza esa información de manera distinta. Una lista llamada “Dispositivos” no siempre representa exactamente lo mismo que otra llamada “Sesiones activas”, y ninguna debería interpretarse como un mapa perfecto de todas las personas que están usando tu cuenta en ese instante.
Un dispositivo, una sesión y una actividad reciente pueden describir cosas diferentes
Las pantallas de seguridad reúnen información que parece similar, aunque conviene leer cada categoría según lo que realmente representa.
- Una sesión suele corresponder a un acceso autenticado que continúa siendo válido.
- Un dispositivo identifica un teléfono, computadora, tableta u otro equipo que la plataforma relaciona con la cuenta.
- La actividad reciente registra determinados eventos, como intentos de inicio de sesión, cambios de seguridad o accesos realizados.
Un mismo teléfono puede generar varias sesiones. También puedes ver el mismo modelo de dispositivo más de una vez si utilizaste distintos navegadores, aplicaciones o periodos de acceso.
La documentación actual de Cuenta de Google incluso advierte que varias sesiones con el mismo nombre pueden corresponder al mismo dispositivo o a varios diferentes. También explica que determinada actividad automática de aplicaciones puede actualizar la hora mostrada aunque no estuvieras utilizando activamente el teléfono en ese momento. :
Esto evita una conclusión precipitada bastante común: “aparece dos veces mi teléfono, entonces alguien clonó mi cuenta”.
Puede haber una explicación mucho más simple.
La ubicación merece la misma cautela. Normalmente estos registros no obtienen una posición GPS exacta de cada inicio de sesión. Pueden inferir una zona a partir de información de red, como una dirección IP, y esa estimación tiene limitaciones.
Microsoft, por ejemplo, señala en su documentación de actividad reciente que las redes móviles pueden enrutar conexiones a través de lugares diferentes y hacer que una actividad parezca provenir de una ubicación distinta de la real. Su página también aclara que no muestra necesariamente cada acción realizada en la cuenta.
Por eso una ciudad cercana que no coincide exactamente con tu ubicación no demuestra por sí sola un acceso ajeno.
Conviene mirar el conjunto.
Un teléfono que reconoces, utilizado a una hora razonable, desde una región próxima y mediante un navegador habitual ofrece un contexto muy diferente al de una computadora que nunca has tenido, acompañada de actividad que no recuerdas y cambios de seguridad que no realizaste.
La fecha tampoco debería leerse de manera aislada. Sincronización de correo, copias de seguridad, aplicaciones que trabajan en segundo plano y otros procesos pueden generar actividad sin que hayas abierto manualmente el servicio.
El objetivo de estas pantallas no es convertirte en investigador de cada registro técnico. Son más útiles cuando permiten encontrar excepciones claras: equipos antiguos, dispositivos perdidos, computadoras compartidas o actividad que realmente no encaja con tu uso.
Revisar la cuenta resulta más útil cuando empiezas por lo que sí reconoces
Una buena revisión puede comenzar por una cuenta importante, especialmente el correo principal. El correo suele participar en la recuperación de otros servicios, así que mantener controlados sus accesos reduce problemas que podrían extenderse a varias cuentas.
Entra directamente desde la aplicación oficial o desde el sitio que ya conoces. Si acabas de recibir un mensaje alarmante sobre un inicio de sesión, evita utilizar ese mismo mensaje como único camino hacia la configuración; abrir la cuenta por tu ruta habitual permite comprobar la alerta desde dentro.
Después observa los dispositivos y sesiones que aparecen.
Tu celular actual debería ser fácil de reconocer. Lo mismo ocurre con la computadora que utilizas todos los días. Quizá también aparezca una tableta, una televisión o un navegador secundario que habías olvidado.
Los dispositivos viejos son los candidatos más sencillos para limpiar.
Si vendiste una computadora, devolviste un equipo prestado o dejaste de utilizar un teléfono hace meses, mantener esa sesión abierta aporta poco. Cerrar el acceso remoto reduce el número de lugares desde los que esa cuenta puede seguir utilizándose.
Apple México ofrece un ejemplo bastante claro de esta lógica: su cuenta permite consultar los dispositivos donde se ha iniciado sesión y eliminar aquellos que ya no se utilizan. Apple también advierte que un dispositivo puede volver a aparecer si continúa con la sesión iniciada y vuelve a conectarse, lo que recuerda que quitar una entrada de una lista y borrar físicamente un dispositivo no son exactamente la misma operación.
Con Google ocurre algo parecido en la práctica: la sección de dispositivos permite abrir una entrada, revisar información y cerrar la sesión cuando el equipo ya no debe tener acceso. Si aparecen varias sesiones bajo el mismo nombre de dispositivo y quieres asegurarte de retirar ese acceso, Google recomienda cerrar las sesiones asociadas.
La revisión no necesita convertirse en una rutina diaria.
Tiene más sentido después de determinadas situaciones: cambiar de teléfono, vender una computadora, utilizar un equipo público, perder un dispositivo, terminar una relación laboral con un equipo administrado por otra organización o recibir una alerta que no reconoces.
También puede hacerse ocasionalmente como mantenimiento, igual que revisar aplicaciones instaladas o archivos antiguos.
El beneficio está en reducir accesos que dejaron de tener una razón para existir.
Cerrar una sesión antigua y responder a una cuenta comprometida no son el mismo problema
Encontrar la laptop que vendiste hace seis meses y encontrar una sesión que no reconoces requieren respuestas distintas.
En el primer caso probablemente ya sabes cómo llegó esa sesión hasta allí. Puedes cerrarla porque el dispositivo dejó de pertenecerte y continuar con la revisión.
Una actividad verdaderamente desconocida merece un análisis más amplio.
Si aparecen un dispositivo que nunca utilizaste, un inicio de sesión que no corresponde con tus horarios o cambios de seguridad que no realizaste, cerrar únicamente una entrada puede ser insuficiente. La pregunta deja de ser “¿qué sesión vieja puedo eliminar?” y pasa a ser “¿cómo obtuvo alguien acceso a la cuenta?”.
Aquí vuelven a importar las contraseñas seguras. Si existe la posibilidad de que una credencial haya sido descubierta, cambiarla por una contraseña nueva y exclusiva evita que la combinación conocida siga sirviendo para nuevos intentos.
Después conviene revisar la información de recuperación: correo alternativo, número telefónico y métodos de autenticación registrados. Una persona que consigue acceso puede intentar modificar precisamente esos elementos para conservar control de la cuenta.
La autenticación en dos pasos añade otra barrera para los siguientes inicios de sesión. No sustituye la revisión de una cuenta ya comprometida, pero dificulta que conocer únicamente la contraseña vuelva a ser suficiente.
Algunos servicios ofrecen además una opción para cerrar sesiones de manera amplia. Microsoft, por ejemplo, permite solicitar el cierre de sesión de la cuenta en navegadores y aplicaciones; su documentación actual advierte que el proceso puede tardar hasta 24 horas y que existen excepciones específicas.
Ese detalle muestra por qué no conviene asumir que todos los botones de “cerrar sesión en todas partes” tienen un efecto instantáneo e idéntico entre plataformas.
Perder físicamente un celular agrega otro problema. Cerrar la sesión protege el acceso a una cuenta concreta, pero no necesariamente protege todos los archivos, fotografías, mensajes o aplicaciones almacenados en el dispositivo. En esa situación pueden entrar en juego funciones separadas para localizar, bloquear o borrar el equipo de forma remota.
Lo mismo ocurre con una computadora pública.
Si cerraste correctamente la sesión antes de levantarte, el riesgo es muy diferente al de haber dejado la cuenta abierta. Si además permitiste que el navegador guardara la contraseña, conviene tratar la credencial almacenada como un problema separado del estado de la sesión.
Las plataformas tampoco conservan registros perfectos para siempre. Una ausencia en la lista no demuestra que nunca haya ocurrido determinado acceso, del mismo modo que una ubicación imprecisa no demuestra un ataque.
La utilidad de la revisión está en reunir señales suficientes para tomar una decisión razonable.
Puedes empezar hoy por una sola cuenta: abre su configuración de seguridad y reconoce cada dispositivo que aparece. Si encuentras el teléfono que ya no tienes, la computadora del trabajo anterior o una sesión que pertenece a un navegador que dejaste de usar, ciérrala.
Si encuentras algo que realmente no puedes explicar, no te limites a borrar el nombre de la lista. Cambia las credenciales necesarias, revisa los métodos de recuperación y comprueba qué otras sesiones continúan activas. Una lista de dispositivos sirve para descubrir el acceso; recuperar el control de la cuenta puede requerir ir bastante más lejos.
Martin Rojas es especialista en tecnología y trabaja con herramientas digitales, computadoras, Internet y software desde hace muchos años. A lo largo de su trayectoria ha realizado cursos de actualización y desarrollado experiencia práctica con diferentes plataformas, sistemas y soluciones digitales. En Skydutz, transforma ese conocimiento técnico en explicaciones claras para estudiantes, profesionales y personas que quieren entender mejor la tecnología que utilizan todos los días.