Tu contraseña no es la única puerta: entiende las sesiones de tu cuenta

Entras a tu correo, cambias de página y el servicio no vuelve a pedirte la contraseña. Esa comodidad depende de cómo mantiene tu sesión. También ayuda a entender una duda frecuente: ¿cómo puede aparecer un acceso extraño si nunca compartiste tu contraseña? Una posibilidad es que exista una sesión válida comprometida. No es un diagnóstico automático; para saber qué pasó hacen falta evidencias.

Un pase que el servicio reconoce

Después del inicio de sesión, algunos servicios guardan en el navegador una cookie que permite reconocer el acceso. Puedes imaginarla como un pase temporal, mientras la plataforma lo siga aceptando. No todas las cookies cumplen esa función: también pueden guardar preferencias u otros datos. OWASP explica la relación entre autenticación y sesión. La importancia está en la función de esa cookie concreta, no en que exista la palabra «cookie».

Contraseña y sesión son partes relacionadas

Si una sesión autenticada queda comprometida y el servicio continúa aceptándola, ciertos accesos pueden ocurrir sin repetir el inicio de sesión. Por eso la verificación en dos pasos sigue siendo necesaria, pero no reemplaza el cuidado del navegador, del dispositivo y de las sesiones abiertas. Son capas que trabajan juntas: proteger la entrada no elimina todos los riesgos de un acceso que ya estaba autorizado.

Cambiar la contraseña no siempre cierra todo

El comportamiento depende de la plataforma. Google, por ejemplo, indica que al cambiar la contraseña cierra sesiones con excepciones, entre ellas determinados dispositivos de verificación o con aplicaciones autorizadas. Puedes consultar su explicación oficial sobre el cambio de contraseña. Esto no significa que cambiarla sea inútil; significa que también debes revisar los accesos y seguir el procedimiento de recuperación del servicio.

Cerrar una pestaña tampoco equivale necesariamente a cerrar la sesión. Y borrar datos en tu navegador no garantiza que hayas revocado todos los accesos en otros equipos. Busca las opciones explícitas de cierre o administración que ofrece la cuenta y revisa qué indica cada acción antes de asumir que ya terminó el problema.

Una revisión opcional en tu propia cuenta

Desde un dispositivo confiable, abre directamente la aplicación o página oficial y busca su sección de seguridad. Revisa los equipos y sesiones registrados; si hay uno que no reconoces, utiliza los pasos que el servicio ofrece para cerrarlo y proteger la cuenta. Comprueba también tus métodos de recuperación. No compartas capturas que revelen correos, datos de dispositivos o información de acceso.

Lo que instalas también forma parte del acceso

Revisa las extensiones del navegador: qué función cumplen, quién las publica y qué permisos necesitan. Algunas pueden leer o modificar datos de sitios autorizados. En Chrome puedes consultar y ajustar ese alcance desde los detalles de cada extensión; Google documenta su administración y eliminación. Una extensión que no usas merece una revisión, no acceso indefinido por costumbre.

Mantén actualizados el sistema y el navegador. Si sospechas que el equipo está comprometido, utiliza otro de confianza para la recuperación y busca ayuda adecuada. No hace falta desactivar el multifactor: hace falta acompañarlo con atención a las sesiones, los permisos y el estado del dispositivo. Es ahí donde la pregunta cambia de «¿quién sabe mi contraseña?» a «¿qué accesos siguen siendo aceptados?».