Cambiar una contraseña de X (Twitter) sin quedarte fuera de tu cuenta

Te hiciste con una cuenta de X, cambiaste la contraseña de inmediato porque eso es lo que se hace con cualquier cosa que acaban de entregarte, y ahora algo anda mal. O la herramienta de programación se quedó en silencio, o peor, la plataforma te pidió confirmar el cambio en una dirección de correo que no es tuya.

El instinto es correcto. El orden suele estar mal, y el orden es lo que decide si terminas con el control de la cuenta o fuera de ella.

Por qué la contraseña no es el primer paso

En la mayoría de las cosas que compras, cambiar la contraseña es la jugada que transfiere el control. Aquí no lo es, y la razón es que cambiar una contraseña en X no es enviar un formulario. Es un evento de seguridad que la plataforma evalúa: qué dispositivo, qué dirección, cuánto tiempo desde el último inicio de sesión. Si lo lee como inusual, te pide confirmación, y la confirmación va a la dirección de correo o al número de teléfono que esté actualmente en la cuenta.

En una cuenta recién adquirida, esas son exactamente las cosas que quizá aún no controlas. Así que el paso que debería protegerte es el que te deja afuera, y lo hace mientras la ventana de garantía sigue corriendo pero ya no puedes demostrar que la cuenta funcionó alguna vez.

Esto no es precaución hipotética. En nuestro propio escaparate de X, de más de novecientas listas activas, cuarenta y dos dicen claramente en su propia descripción que el correo suministrado puede no ser utilizable. Verifica antes de actuar, no después.

El orden que funciona

1. Primero el buzón. Inicia sesión en la dirección de correo de la cuenta y confirma que realmente puedes recibir correo allí. Todo lo demás es adivinar sin esto.
2. Un inicio de sesión tranquilo. Entra con normalidad y luego no hagas nada durante veinte minutos, solo lee. Hazlo desde la conexión que piensas seguir usando, no desde una configuración temporal que desmontarás después.
3. Cierra las otras sesiones. Este es el paso que de verdad elimina a quien más tenga la cuenta, y a diferencia de la contraseña, no está en duda. Más abajo lo detallamos.
4. Los datos de contacto. Reemplaza la dirección de correo y el número de teléfono por los tuyos. Esto es lo que transfiere el control. Una contraseña gobierna los inicios de sesión futuros; la dirección de recuperación gobierna quién puede recuperar la cuenta.
5. Luego la contraseña. Para este punto, un aviso de confirmación es inofensivo, porque llega a ti.
6. Luego reconecta tus herramientas.

El paso cuatro es donde la mayoría invierte la secuencia, y es la inversión cara. Cambiar la contraseña mientras la dirección de otra persona sigue en la cuenta es atrancar la puerta y dejar la llave afuera.

Vale la pena saberlo antes de comprar y no después: de más de novecientas listas activas en nuestro escaparate de X, solo diecinueve mencionan suministrar un correo de recuperación, y solo ocho mencionan que se haya eliminado el número de teléfono. Las listas que incluyen un buzón funcional son comunes, alrededor de dos tercios del escaparate, y cuestan aproximadamente un diez por ciento más que la lista media. Eso es una prima pequeña por lo que cada paso anterior necesita.

La única acción que termina de forma fiable con el acceso ajeno

Esto merece cuidado, porque se afirma a menudo de forma errónea, incluso en la versión anterior de esta página.

Se dice mucho que cambiar tu contraseña de X cierra la sesión en todos los demás dispositivos. X no publica una declaración que podamos leer en uno u otro sentido: sus páginas de ayuda rechazan solicitudes automatizadas, así que no podemos comprobarlo. Lo que está registrado es que en septiembre de 2022 Twitter reveló que los cambios voluntarios de contraseña no habían estado cerrando sesiones en otros dispositivos, un fallo que estuvo activo durante meses antes de arreglarse. Ese historial es razón suficiente para no apoyarte en el efecto secundario, haga lo que haga hoy.

La acción fiable es otra, y está en tu configuración: Seguridad y acceso a la cuenta, luego Aplicaciones y sesiones, luego Sesiones. Hay un control que cierra todas las sesiones excepto la que estás usando. Es explícito, está bajo tu control, y su efecto no es cuestión de interpretación.

Así que no trates un cambio de contraseña como una forma de limpiar otros inicios de sesión. Trátalo como un cambio de contraseña, y cierra los otros inicios de sesión tú mismo, a propósito, desde la lista creada para eso.

Qué se rompe de verdad, y qué no

Dos tipos de acceso cuelgan de una cuenta de X y se comportan distinto, que es la distinción más útil en todo este asunto.

Valores de sesión copiados son cookies extraídas de un navegador con sesión iniciada, que es lo que piden muchas herramientas de automatización. Están atados a una sesión de inicio, así que cerrar sesiones los termina. Las herramientas que funcionan con valores copiados normalmente no reportan un error cuando esto pasa; simplemente dejan de publicar, y te enteras al día siguiente. Si tienes alguna, espera tener que rehacerlas después de un cambio de seguridad, y lee qué hacen realmente auth_token y ct0 antes de pegar nada en ningún sitio.

Aplicaciones autorizadas son diferentes. Una app que conectaste mediante el flujo oficial de autorización tiene un permiso propio que no depende de tu contraseña ni de ninguna sesión de navegador, así que sobrevive a todo esto. Eso corta en ambas direcciones y ambas son útiles: puedes cambiar tu contraseña sin detener tu automatización, y puedes cortar una sola aplicación sin tocar tu contraseña. También significa que una autorización que otro concedió antes de que fueras dueño de la cuenta sobrevivirá a todo lo que acabas de hacer, así que la lista de aplicaciones conectadas necesita una revisión manual.

Esa asimetría es el argumento real para usar la vía oficial para cualquier cosa que pienses mantener más de una semana. Los valores copiados son rápidos y se rompen con cada acción de seguridad que tomes. Una autorización adecuada tarda más una vez y luego deja de ser tu problema.

Cuando el cambio de contraseña no se completa

Tres situaciones distintas se esconden detrás de "no me deja", y necesitan respuestas distintas.

Se acepta y no surte efecto. Casi siempre es una confirmación esperando en el buzón. Revisa el spam, y espera unos minutos antes de intentarlo de nuevo en lugar de reenviar.

Te sale un desafío que no puedes completar. La plataforma ha puntuado tu acceso como inusual. Lo que ayuda es la paciencia: la misma conexión, el mismo dispositivo, otro intento más tarde. Lo que no ayuda es cambiarte a otra conexión para esquivarlo, porque eso empeora la evaluación en lugar de mejorarla.

La cuenta está restringida o suspendida. Entonces la contraseña es un síntoma más que el problema, y el camino de vuelta es otro. Ese caso está cubierto en nuestra guía para cuentas restringidas y suspendidas.

Dónde se filtran los tokens, que es más común de lo que la gente espera

Un valor de sesión pegado en algún sitio es acceso en vivo a la cuenta hasta que la sesión termine. No es una cadena técnica, es una llave. Las formas habituales en que se escapan:

• Compartir pantalla con las herramientas de desarrollador abiertas durante una llamada de soporte
• Pegar el valor crudo en un chat, un ticket o un documento compartido
• Guardarlo en un archivo de texto plano que se sincroniza con almacenamiento en la nube
• Extensiones de navegador con permiso para leer datos de la página
• Sesiones iniciadas que quedan en una máquina compartida o revendida

Si crees que uno se ha escapado, ve a la lista de sesiones y ciérralas todas. Esa es la acción con efecto conocido. Cambia también la contraseña, por supuesto, pero no dejes que sea lo único que hagas.

Recuperar cuando no te queda nada

Si la dirección de la cuenta fue cambiada y no puedes recibir nada, las vías ordinarias están cerradas y la única que queda es el formulario de contacto de la propia plataforma. Lo que importa allí es evidencia de que la cuenta era tuya: la dirección de correo anterior, el número de teléfono que solía tener, aproximadamente cuándo se creó, correos de notificación antiguos. Reúne eso antes de llenar el formulario, porque añadirlo después es difícil.

La parte cruda: no hay un tiempo de procesamiento publicado, ni número de teléfono, ni forma de acelerarlo. Los servicios que prometen una recuperación de pago usan el mismo formulario que tú.

La única prevención que funciona de verdad es hacer los pasos uno a cuatro de arriba mientras sigues con la sesión iniciada. Si estás eligiendo entre listas, las que vienen con un buzón al que puedas entrar están en la página de listados de cuentas X. El mismo orden de contraseña al final aplica a las cuentas de Facebook y por la misma razón.

Las páginas de ayuda de X son la referencia de primera mano. No pudimos leerlas desde aquí, así que no vamos a caracterizar lo que contienen.