Les sessions sont opaques et stockées côté serveur : les révoquer coupe l'accès dans la seconde, sans attendre l'expiration d'un jeton.
Une session inconnue dans la liste doit être révoquée puis suivie d'un changement de mot de passe, dans cet ordre.