L'igiene delle revoche è la pratica di rimuovere regolarmente l'accesso alle applicazioni, le concessioni OAuth, le chiavi API e i token che non sono più necessari. Negli ambienti cloud e SaaS, le autorizzazioni spesso persistono dopo la fine di un progetto, un cambiamento di fornitore o la sostituzione di un'integrazione. Se queste credenziali restano attive, diventano relazioni di fiducia permanenti che un attaccante può abusare.
Questo è importante perché le app di terze parti compromesse o dimenticate possono ancora leggere email, file o dati di identità molto tempo dopo che l'esigenza aziendale è venuta meno. Una buona igiene delle revoche significa rivedere le app connesse, disabilitare le integrazioni inutilizzate, far scadere i token e verificare che l'accesso corrisponda all'ambito attuale. I difensori usano console di amministrazione, registri di audit e revisioni periodiche degli accessi per individuare concessioni obsolete, mentre gli attaccanti spesso le cercano come punti di ingresso a bassa frizione che aggirano le protezioni con password e MFA. Le revoche regolari riducono il debito di autorizzazione e limitano il raggio d'azione di una compromissione.