LinkedIn Connected Apps: Guía de seguridad y acceso

¿Conoces ese pequeño botón de “Iniciar sesión con LinkedIn”? ¿La que has pulsado cien veces porque escribir una nueva contraseña parecía más esfuerzo de lo que valía? Cada vez que lo hacías, le entregabas a un extraño una clave de tu cuenta. No es su contraseña, exactamente, pero una clave, no obstante. Y aquí está la parte incómoda: la mayoría de esas llaves todavía están en un cajón en algún lugar, funcionando perfectamente, para aplicaciones para las que se inscribió una vez en 2021 y nunca más se volvió a abrir.

Esto no es motivo de pánico. Es una razón para pasar quince minutos haciendo algo que la mayoría de la gente nunca hace: mirar la lista de todo lo que actualmente puede tocar su cuenta de LinkedIn. Tu lista de aplicaciones conectadas a LinkedIn es una de las páginas más reveladoras y menos visitadas de toda tu vida digital, y una vez que entiendas cómo leerla, nunca volverás a mirar ese botón de “Iniciar sesión con LinkedIn” de la misma manera.

Vamos a ver cuáles son estas conexiones en realidad, cómo funcionan los permisos bajo el capó, cómo auditar y eliminar el acceso, y cómo conectar las herramientas que realmente necesita sin dejar su cuenta expuesta. Al final, tendrás un hábito repetible que mantiene tu presencia profesional bloqueada sin ralentizarte.

Lo que realmente significa “aplicaciones conectadas” en LinkedIn

Una aplicación conectada es cualquier servicio de terceros que le haya otorgado permiso para interactuar con su cuenta de LinkedIn. No es un servicio que robó acceso, y no uno que adivinó su contraseña: uno que explícitamente saludó, generalmente en un momento en que estaba enfocado en otra cosa, como registrarse en una herramienta de programación o dejar que una aplicación de diseño publique en su feed.

Estas conexiones vienen en dos sabores amplios, y decirles cosas aparte.

Conexiones de inicio de sesión. Este es el flujo clásico de “Iniciar sesión con LinkedIn”. Cuando utiliza LinkedIn como su inicio de sesión para otro sitio web, ese sitio generalmente recibe su nombre, foto de perfil, título y dirección de correo electrónico. Utiliza LinkedIn para verificar que eres quien dices ser, lo que te ahorra inventar otra contraseña. La desventaja es que este tercero ahora tiene una relación permanente con su identidad de LinkedIn, y a menudo un token que le permite volver a verificarlo cada vez que regresa.

Permisos de datos y acciones. Esta es la categoría más profunda. Algunas aplicaciones no solo confirman quién eres; te piden que leas tus conexiones, veas tu actividad o publiques contenido en tu nombre. Un planificador de redes sociales, por ejemplo, necesita permiso para publicar actualizaciones en su perfil o página de empresa. Una herramienta de reclutamiento puede pedir leer su red. Estas aplicaciones contienen lo que se llama un token de acceso, una larga cadena de caracteres que actúa como una contraseña temporal para acciones específicas.

Lo crucial para internalizar: una aplicación conectada no necesita su contraseña para seguir funcionando. Eso es por diseño. Funciona en un token, por lo que incluso si cambia su contraseña de LinkedIn mañana, la mayoría de las aplicaciones conectadas siguen funcionando sin tocar. Cambiar la contraseña no revoca el acceso a la aplicación. Esto sorprende a casi todos, y es exactamente por eso que la página de aplicaciones conectadas merece su atención.

Cómo funcionan los permisos de OAuth (en inglés sencillo)

La tecnología detrás de todo esto se llama OAuth, y no es necesario ser un ingeniero para entender la idea, porque se asigna perfectamente a algo físico: una tarjeta de llave de hotel.

Cuando te registras en un hotel, no le entregas a la recepción una copia de la llave de tu casa. Te dan una tarjeta que abre tu habitación, tal vez la piscina, tal vez el gimnasio, y nada más. Deja de funcionar en la caja. Puedes conseguir uno nuevo si lo pierdes, y el hotel puede desactivarlo al instante sin cambiar cada cerradura del edificio.

OAuth funciona de la misma manera. Cuando conectas una aplicación, LinkedIn emite una tarjeta clave, técnicamente un token, que otorga un conjunto limitado de permisos específicos llamados scopes. La tarjeta de una aplicación solo puede abrir la puerta “leer tu perfil básico”. Otra podría abrir “leer tu perfil”, “ver tu correo electrónico” y “publicar en tu nombre”. La aplicación nunca ve tu contraseña real, y puedes desactivar su tarjeta en cualquier momento sin tocar nada más.

Este es un diseño de seguridad realmente bueno, y es la razón por la que OAuth ganó en los malos tiempos cuando las aplicaciones pedían su nombre de usuario y contraseña reales. Pero el modelo solo te protege si entiendes dos cosas al respecto.

En primer lugar, los ámbitos son solicitados por la aplicación, no elegidos por usted. Cuando presionas la pantalla “Permitir”, la aplicación ya ha decidido lo que quiere. Su única opción real es sí o no a todo el paquete. Así que la pantalla de permisos es el momento más importante en toda la relación, y es el que todo el mundo hace clic más rápido. Volveremos a cómo reducir la velocidad en ese momento.

En segundo lugar, los tokens persisten. Esa tarjeta de clave no caduca cuando cierra la pestaña o incluso cuando cambia su contraseña. Sigue funcionando hasta que la aplicación deja de usarla o la revocas activamente. Una aplicación que olvidaste hace cinco años todavía puede estar sosteniendo un token válido y funcional para tu identidad profesional en este momento.

Por qué esto importa más en LinkedIn que en casi cualquier otro lugar

Piensa en lo que es LinkedIn. No es un lugar para fotos de vacaciones. Es su reputación profesional, su nombre real unido a su empleador real, su red de colegas y clientes, y una línea directa a las personas que toman decisiones de contratación y compra. Una cuenta de LinkedIn comprometida no es embarazosa en la forma en que una cuenta de meme hackeada es; es un canal en vivo para daños.

Aquí está el modelo de amenaza realista. Una aplicación que conectaste se rompe, se vende o simplemente se vuelve maliciosa. Debido a que tiene un token de publicación, de repente puede publicar enlaces de spam o estafa desde su cuenta a toda su red de contactos de confianza. Esos contactos hacen clic, porque el mensaje vino de usted. Una sola conexión obsoleta se convierte en un megáfono de phishing dirigido exactamente a las personas que más confían en ti.

Incluso sin una violación, las aplicaciones con permisos excesivos extraen silenciosamente los datos. Una aplicación que solicitó acceso a sus conexiones y actividad puede estar construyendo un perfil de su red profesional, sus intereses y su comportamiento, luego empaquetando eso en un conjunto de datos del que nunca acordó formar parte. Ha hecho clic en “Permitir” una vez; la recopilación de datos está en curso.

Nada de esto es una razón para evitar conectar herramientas. Las aplicaciones conectadas son la forma en que realizas el trabajo real, desde programar publicaciones hasta ejecutar análisis y administrar el alcance. El objetivo no es cero conexiones. El objetivo son las conexiones intencionales y el hábito de limpiar las que ya no usas.

Cómo encontrar y revisar tus aplicaciones conectadas a LinkedIn

Abramos el cajón y veamos qué hay dentro. Tu lista de aplicaciones conectadas a LinkedIn vive en tu Configuración, y la redacción exacta de los elementos del menú cambia con el tiempo, así que concéntrate en los conceptos en lugar de memorizar una ruta de clic.

Paso uno: abre tu Configuración y Privacidad. Haga clic en su foto de perfil en la barra de navegación superior y, a continuación, elija Configuración y privacidad en el menú desplegable. En el móvil, toca tu foto y busca el equipo de configuración.

Paso dos: busque la sección Privacidad de datos. En el menú de la izquierda verá categorías como Preferencias de cuenta, Inicio de sesión y seguridad, Visibilidad y Privacidad de datos. Las conexiones que estás auditando están en vivo bajo un par de encabezados relacionados. Busque en Privacidad de datos una entrada en la línea de “Servicios permitidos” u “Otras aplicaciones”, y en Iniciar sesión y seguridad para cualquier cosa sobre aplicaciones y dispositivos. LinkedIn los divide porque distingue entre las aplicaciones en las que utilizas LinkedIn para iniciar sesión y las aplicaciones que has otorgado un acceso más profundo.

Paso tres: lee la lista lentamente. Aquí es donde la mayoría de la gente se apresura y no aprende nada. Ve app por app y haz tres preguntas sobre cada una:

• ¿Reconozco esto? Si un nombre no significa nada para ti, eso es una bandera. Puede ser una herramienta antigua, o un servicio que etiqueta bajo el nombre de una empresa matriz, pero el acceso no reconocido es un acceso sobre el que no se puede razonar.
• ¿Todavía lo uso? Sé honesto. La herramienta de programación que probaste hace una semana hace dos años no necesita acceso permanente a tu cuenta para siempre.
• ¿Qué puede hacer? LinkedIn te muestra los permisos que tiene cada aplicación. Ten en cuenta la diferencia entre una aplicación que solo conoce tu perfil básico y una que puede publicar en tu nombre o leer tu red. Los permisos de publicación y lectura son los que merecen ser examinados.

Mientras lo haces, mantén un tipo mental (o escrito): mantén, retira e investiga. Cualquier cosa que no reconozcas o no uses se va a eliminar. Cualquier cosa con permisos pesados de los que no estés seguro, investiga antes de decidir.

Cómo eliminar el acceso de forma segura

Eliminar el acceso a una aplicación es refrescantemente simple, y es el equivalente digital de desactivar esa tarjeta de llave de hotel. En cada aplicación de la lista, LinkedIn te da una opción de Eliminar o Revocar. Haga clic en él, confirme y el token muere. La aplicación ya no puede leer sus datos o publicar en su nombre, con efecto inmediato.

Algunas cosas que vale la pena saber antes de ir en una juerga de revocación.

La revocación no elimina los datos que la aplicación ya recopiló. Cortar el acceso futuro es importante, pero no se extiende hacia atrás. Una aplicación que ya ha retirado su lista de conexiones todavía tiene esa copia. Si le preocupan los datos que ha recopilado una aplicación, revocar el acceso es el primer paso; el segundo paso es ir a esa aplicación directamente y solicitar la eliminación de sus datos, que muchos servicios están legalmente obligados a respetar.

Siempre revoque primero. Cortar el flujo continuo de nuevos datos es lo más importante.

Revocar una conexión de inicio de sesión puede bloquearlo de ese otro servicio. Si usaste “Iniciar sesión con LinkedIn” como tu único camino a otro sitio web, eliminar la conexión puede dejarte sin poder iniciar sesión allí. Antes de revocar un enlace de inicio de sesión puro, asegúrese de que ya no le importe esa cuenta o de que haya configurado un inicio de sesión alternativo, como una combinación de correo electrónico y contraseña, en ese servicio primero.

En caso de duda, retíralo. Volver a autorizar una aplicación que realmente necesita toma unos treinta segundos; solo inicia sesión de nuevo y haz clic en Permitir. Eso es un costo mucho menor que dejar una puerta olvidada sin abrir durante años. Inclínese hacia la eliminación, porque la desventaja de eliminar algo que necesitaba es trivial y la desventaja de mantener algo peligroso no lo es.

Cómo conectar nuevas herramientas sin arrepentirse

Ahora, la otra cara de la moneda. Conectarás aplicaciones, y deberías. Las herramientas legítimas te hacen dramáticamente más efectivo. La habilidad es conectarlos deliberadamente. Aquí hay una lista de verificación para ese momento crítico de “Permitir”.

En realidad, lea la pantalla de permisos. Este es todo el juego de pelota. Antes de hacer clic en Permitir, lee lo que pide la aplicación. Una herramienta de programación de LinkedIn que pide publicar en su nombre tiene sentido. Esa misma herramienta que pide leer su lista completa de conexiones y sus mensajes privados debería hacer que se detenga y se pregunte por qué necesita eso para programar una publicación. Si los permisos son mucho más amplios que el propósito declarado de la aplicación, esa falta de coincidencia es tu señal de advertencia.

Vete a la herramienta antes de conectarte, no después. Tómese treinta segundos para confirmar que la aplicación es real y de buena reputación. ¿Es una empresa conocida? ¿Tiene un sitio web real, una política de privacidad que se pueda encontrar y una presencia de soporte? ¿Hay reseñas de usuarios reales? Una herramienta que gestiona tu identidad profesional debe superar un nivel más alto que un juego aleatorio que te vincularías a una cuenta de throwaay.

Prefiere herramientas que expliquen sus permisos. Las herramientas mejor diseñadas le dicen, en lenguaje sencillo, exactamente por qué necesitan cada permiso antes de que llegue a la pantalla de autorización de LinkedIn. Esa transparencia es en sí misma una señal de calidad. Una herramienta que es cautelosa sobre lo que accede te dice algo.

Conectarse desde la fuente, no desde un enlace. Inicia la conexión desde la herramienta que estás configurando deliberadamente, o desde LinkedIn, nunca desde un enlace en un correo electrónico o mensaje inesperado. Un falso mensaje de “reconectar tu LinkedIn” es un movimiento clásico de phishing. Si recibes una solicitud de reautorización de una aplicación, no hagas clic en ella; ve a esa aplicación directamente e inicia la conexión tú mismo.

Este tipo de conexión deliberada es exactamente como una buena configuración de programación debe sentirse. Cuando conectas una plataforma de gestión de redes sociales a LinkedIn, le estás otorgando acceso a la publicación para que pueda publicar en tu programación y acceso a análisis para que pueda informar sobre lo que funcionó. Es un comercio justo y comprensible por las horas que te ahorra. Si estás construyendo un flujo de trabajo de publicación real, nuestra guía sobre cómo programar publicaciones en redes sociales lo hace de manera segura en todas las redes, y vincular eso con una plantilla de calendario de redes sociales mantiene toda la operación organizada en lugar de caótica.

Las mejores prácticas de privacidad que van más allá de la lista de aplicaciones

Auditar tus aplicaciones conectadas a LinkedIn es el acto principal, pero algunos hábitos circundantes hacen que todo sea mucho más duradero.

Activa la autenticación de dos factores. Este es el movimiento de seguridad de mayor apalancamiento en cualquier cuenta. Con el doble factor activado, incluso alguien que roba tu contraseña no puede entrar sin el segundo código. No detendrá una aplicación conectada deshonesta, pero cierra la puerta al ataque más común: una contraseña robada o reutilizada. Haz esto hoy si no lo has hecho.

Auditar en un horario, no en un susto. La mayoría de las personas solo revisan sus aplicaciones conectadas después de leer un titular sobre una violación. Voltea eso. Ponga un recordatorio recurrente en su calendario, trimestral es suficiente para la mayoría de la gente, para abrir la lista y ejecutar el tipo de mantenimiento-eliminar-investigar. Quince minutos, cuatro veces al año, y su identidad profesional se mantiene limpia.

Permisos de coincidencia para uso real. El principio de seguridad que la gente llama “menos privilegio” es solo el sentido común disfrazado: una aplicación debe tener el acceso mínimo que necesita para hacer su trabajo, y nada más. Si una herramienta solo necesita conocer tu perfil básico, no debería tener derechos de publicación. Cuando no puedes controlar los ámbitos que solicita una aplicación, al menos puedes rechazar los que se extralimitan al no permitir que se conecten.

Esté atento a las señales de una conexión comprometida. Mensajes que no escribió, solicitudes de conexión que no envió, mensajes que salieron bajo su nombre, cambios de perfil que no realizó. Cualquiera de estos significa que una aplicación o sesión se ha vuelto rogue. Si los ves, revoca todo lo que no necesites, cambia tu contraseña, confirma que hay dos factores activados y comprueba tus sesiones activas en Iniciar sesión y seguridad para cerrar sesión en cualquier dispositivo que no reconozcas.

Separar los experimentos personales de tu identidad principal. Si te gusta probar nuevas herramientas, ten en cuenta que cada prueba es una nueva llave entregada. No hay nada malo en experimentar; solo recuerde revocar el acceso cuando finalice el juicio, de la misma manera que devolvería un automóvil de alquiler en lugar de mantenerlo estacionado en su camino de entrada indefinidamente.

Auditoría de aplicaciones conectadas de quince minutos, de principio a fin

Vamos a atarlo a una rutina que realmente puedas correr. Aquí está todo como un flujo de trabajo que podría hacer en el momento en que termine de leer.

Abre la lista. Dirígete a Configuración y privacidad, luego a Privacidad de datos y Seguridad y accede a tus servicios permitidos y a tus conexiones de inicio de sesión.

Ordenar todas las aplicaciones. Mantener, eliminar o investigar, utilizando las tres preguntas: ¿Lo reconozco? ¿Lo uso? ¿Qué puede hacer? Sea despiadado con cualquier cosa no reconocida o no utilizada.

Revocar los removedores. Haga clic y corte el acceso en todo lo que hay en su pila de eliminación. Para conexiones de inicio de sesión puras, confirme que tiene otra forma de ingresar a ese servicio primero.

Investigar los maybes. Para aplicaciones con permisos muy estrictos, busca la empresa, encuentra su política de privacidad y decide. Cuando realmente rasgado, quitar y volver a añadir más tarde si es necesario.

Cierra las puertas detrás de ti. Confirme que la autenticación de dos factores está activada, revise sus sesiones activas y cierre sesión con cualquier cosa que no esté familiarizada.

Establecer el recordatorio recurrente. Ponga una auditoría trimestral en su calendario para que esto nunca se convierta en un pánico de una vez en una luna azul otra vez.

Eso es todo. Has pasado de no tener idea de lo que puede tocar tu cuenta de LinkedIn a saber exactamente qué está conectado, por qué y cómo cambiarlo. Para una imagen más amplia de tener una presencia social estrecha, segura y de bajo estrés, nuestros consejos de administración de redes sociales consejos para gestionar redes sociales llevan estos hábitos a una rutina completa.

La página de aplicaciones conectadas nunca será la pantalla más emocionante en LinkedIn. Pero podría ser el más importante que no estabas mirando. Quince minutos ahora le compra una identidad profesional que permanece suya, conectada solo con las herramientas que realmente eligió. Es un oficio que vale la pena hacer, este trimestre y todos después.