Qué comprobar después de revocar las sesiones de un usuario

Define qué debe dejar de funcionar

Fija la hora de la actuación y su motivo. Una respuesta a credenciales comprometidas puede exigir recuperar después el acceso; una baja laboral requiere impedir nuevas entradas. Esa diferencia determina si debes bloquear la cuenta, revisar métodos de autenticación o coordinar la desactivación con el directorio local.

Haz una lista breve de recursos críticos: correo, documentos, aplicación financiera y cualquier servicio conectado mediante inicio de sesión corporativo. Incluye aplicaciones que guardan su propia sesión. No des por cerrado el incidente porque una única pestaña de Outlook pida contraseña.

Distingue credenciales y sesiones

Microsoft explica que los tokens de acceso y de renovación tienen comportamientos distintos. Además, una aplicación puede mantener una cookie propia que Entra no puede revocar directamente. Por eso no prometas que el botón de revocación desconecta todo al instante.

Comprueba qué acción se ejecutó, sobre qué identidad y con qué resultado. Si la identidad está sincronizada, confirma que la medida se aplicó en el origen adecuado y que la sincronización no vuelve a habilitarla. Evita encadenar restablecimientos sin saber qué estado intentas conseguir.

Prueba con un alcance controlado

Usa sesiones y dispositivos corporativos bajo tu control, con autorización para la prueba. Verifica tanto una sesión que ya estaba abierta como un intento nuevo. Registra aplicación, hora y resultado: acceso denegado, solicitud de autenticación o acceso todavía disponible. No pidas a una persona que comparta su contraseña para hacer esta comprobación.

Si una aplicación sigue accesible, revisa con su administrador cómo invalida sesiones y cómo retira usuarios. No confundas una pantalla almacenada en caché con una operación nueva aceptada por el servidor. Una consulta de prueba sin datos sensibles ayuda a distinguirlas.

Relaciona el resultado con los registros

Revisa la actividad posterior a la hora de corte y diferencia intentos fallidos de accesos aceptados. Si detectas actividad inesperada, conserva los datos del recurso, dispositivo y momento para ampliar la investigación. Comprueba también permisos concedidos a aplicaciones cuando el contexto sea una intrusión.

Cierra la tarea indicando recursos verificados y pendientes, con responsable para cada excepción. La revocación reduce accesos activos; los datos ya copiados y las cuentas independientes requieren medidas propias. No atribuyas a esta acción un borrado remoto que no has realizado ni comprobado.

Fuentes y documentación

• Revocar acceso en Microsoft Entra ID — Tokens de acceso, renovación y sesiones propias de aplicaciones.
• Retirar a un antiguo empleado — Secuencia de baja y conservación de información.