Tokens de acceso: qué son y 5 casos en los que revocarlos
La respuesta corta: un token de acceso es una credencial temporal que una app recibe al autorizarla, en lugar de tu contraseña, y que solo permite lo que aceptaste. Poder revocarlo importa porque cortas el acceso de una app concreta sin cambiar la contraseña ni afectar a las demás, por ejemplo si pierdes un móvil o dejas de usarla.
Qué es un token de acceso y en qué se diferencia de tu contraseña
Un token de acceso es una cadena de caracteres que el proveedor de tu cuenta (Google, Microsoft, Apple u otro) entrega a una app cuando le das permiso. La app lo presenta en cada petición y el proveedor comprueba qué puede hacer con él.
La diferencia con la contraseña está en tres puntos:
- Alcance limitado: el token solo vale para los permisos que aceptaste, por ejemplo leer el calendario pero no borrar correos. La contraseña abre la cuenta entera.
- Una app, un token: cada app que autorizas recibe el suyo. Si retiras uno, las demás siguen funcionando.
- La app nunca ve tu contraseña: inicias sesión en la página del proveedor y la app solo recibe el token.
Si quieres entender el recorrido completo de una autorización, el artículo sobre qué datos compartes al autorizar lo explica paso a paso.
Token de acceso y token de actualización: por qué hay dos
La mayoría de servicios emite dos credenciales distintas: un token de acceso de vida corta y un token de actualización de vida larga. El de acceso caduca pronto, con una duración que fija cada servicio; cuando caduca, la app usa el de actualización para pedir otro sin molestarte.
Este diseño tiene una consecuencia práctica: aunque alguien robe un token de acceso, le sirve poco tiempo. El que de verdad mantiene la conexión abierta es el de actualización, y es el que se invalida cuando revocas el acceso de una app desde tu cuenta. Por eso revocar funciona aunque el token de acceso aún no haya caducado: en cuanto expira, la app ya no puede renovarlo.
Cambiar la contraseña no siempre invalida los tokens ya emitidos; depende del servicio. Si sospechas de una app, revoca su acceso de forma explícita además de cambiar la contraseña.
5 casos en los que conviene revocar un token de acceso
Revocar es la medida adecuada cuando el problema está en una app o un dispositivo concretos, no en toda la cuenta.
| Situación | Qué revocar | Qué más hacer |
|---|---|---|
| Pierdes o vendes un móvil | Las apps que tenías autorizadas en él | Cerrar la sesión de ese dispositivo en tu cuenta |
| Dejas de usar una app | Su acceso completo | Pedirle el borrado de tus datos si lo deseas |
| La app pide más permisos de los necesarios | Su acceso, y volver a autorizar con menos | Revisar si hay una alternativa menos intrusiva |
| Recibes un aviso de acceso que no reconoces | Todas las apps que no identifiques | Cambiar contraseña y revisar la verificación en dos pasos |
| Una app se comporta raro o deja de sincronizar | Su acceso, y conectarla de nuevo | Comprobar si el fallo persiste tras reconectar |
El último caso no es de seguridad sino de mantenimiento: reconectar emite tokens nuevos y resuelve bastantes problemas. La guía de señales de sincronización rota ayuda a distinguirlo de otras causas.
Cómo revocar un token de acceso en Google y en iCloud
En Google, el acceso de otras apps se revisa y se retira en Cuenta de Google → Seguridad → «Tus conexiones con aplicaciones y servicios de terceros». Microsoft y otros proveedores tienen una página equivalente en la configuración de su cuenta. El proceso general es este:
- Abre la página de seguridad de tu cuenta: entra siempre escribiendo la dirección tú mismo, no desde un enlace recibido por correo.
- Localiza la app por su nombre: si no la reconoces, es candidata a revocar.
- Retira el acceso: el proveedor invalida sus tokens y la app pierde la conexión.
- Vuelve a autorizar solo si la necesitas: al reconectar, revisa los permisos que pide.
iCloud Mail funciona de otra forma. Para leerlo desde una app de terceros hace falta una contraseña de aplicación, que se crea en account.apple.com con la verificación en dos pasos activada. Esa contraseña cumple el papel de un token: es específica para una app y se gestiona en el mismo sitio, sin tocar la contraseña principal de tu cuenta de Apple.
Qué pasa en una app después de revocar su token
La app deja de poder leer o escribir en tu cuenta, pero conserva lo que ya hubiera descargado hasta que lo borre. Revocar corta el acceso futuro; no elimina datos copiados antes.
En la práctica notarás que la cuenta deja de actualizarse: el correo nuevo no aparece, las citas se quedan como estaban o la app te pide conectar de nuevo. Pasa igual con cualquier servicio que combine varias cuentas, Madrugo incluido: si retiras el acceso a Gmail o a Google Calendar, esa cuenta deja de estar al día hasta que la vuelvas a conectar.
Para que la app borre lo que guardó, tienes que pedírselo. El RGPD da derecho a acceder a los datos propios y a pedir su borrado, y quien los trata tiene que responder en un mes, ampliable dos meses más si la solicitud es compleja. La política de privacidad de Madrugo detalla qué se guarda y cómo pedir su eliminación.
Preguntas frecuentes
- ¿Un token de acceso es lo mismo que una contraseña?
- Un token de acceso no es una contraseña. Es una credencial que el proveedor entrega a una sola app, limitada a los permisos que aceptaste. La contraseña abre la cuenta entera, mientras que el token solo sirve para esa app y puede revocarse sin cambiar nada más.
- ¿Si cambio la contraseña de Google se desconectan las apps?
- Cambiar la contraseña de Google no garantiza que se desconecten todas las apps autorizadas, porque depende del tipo de acceso. Para cortar una app concreta, retírala en Cuenta de Google, Seguridad, Tus conexiones con aplicaciones y servicios de terceros.
- ¿Qué pasa con mis datos si revoco el acceso a una app?
- Revocar el acceso a una app impide que siga leyendo o modificando tu cuenta, pero no borra lo que ya hubiera copiado. Para eliminar esos datos tienes que solicitarlo a la app; el RGPD obliga a responder en un mes, ampliable dos meses si es complejo.
- ¿Cómo se revoca el acceso de una app a iCloud Mail?
- El acceso de una app a iCloud Mail depende de una contraseña de aplicación creada en account.apple.com con la verificación en dos pasos activada. Revocar esa contraseña de aplicación en la misma página corta el acceso de esa app sin cambiar la contraseña de la cuenta de Apple.
- ¿Revocar y volver a conectar una app arregla la sincronización?
- Revocar y volver a conectar una app que no sincroniza suele resolver fallos de credenciales, porque el proveedor emite tokens nuevos. Si el problema sigue después de reconectar, la causa está en otro sitio, como la propia app, la red o el servicio de origen.