Controle de sessões
O console lista as sessões que seus usuários mantêm em um domínio de login personalizado e revoga qualquer uma delas. Um login que guarda tokens termina quando seu refresh token é revogado, quando você desativa o app ou quando os tokens expiram.
A lista de sessões
Cada app de login tem uma lista de suas sessões ativas no console, na página de domínios personalizados do app. Uma linha mostra o id do usuário, como ele fez login e quando a sessão foi vista pela última vez, com um botão Revogar ao lado. Listar exige a permissão users:read e revogar exige users:write. A lista é mantida por app, e a página do próprio usuário não traz lista de suas sessões.
Quais logins aparecem
Uma sessão desse tipo só existe para um login concluído em um domínio de login personalizado, que precisa estar verificado. Um login no domínio padrão do Fóir, ou pela API de token, emite tokens e não cria sessão, então nunca aparece na lista.
O que revogar faz
Revogar uma sessão desconecta aquele usuário, e o app dele não consegue mais emitir um token de acesso a partir dela. A revogação dispara um evento SESSION_REVOKED na mesma transação, com os ids da sessão e do usuário, para que seus próprios sistemas possam descartar o que guardaram em cache. O mesmo evento dispara quando um usuário sai e quando um app é desativado.
Encerrando outros logins
O logout do próprio usuário encerra a sessão dele no domínio de login. Em um login por token, enviar o refresh token ao endpoint de revogação encerra aquela família de tokens. Desativar um app de login encerra de uma vez todas as sessões e tokens de seus usuários, e a API deixa de honrar seus tokens de acesso sem esperar que expirem. Uma redefinição de senha encerra as sessões e os refresh tokens daquele usuário.
Durações
Um token de acesso dura 15 minutos, e um refresh token dura 30 dias e é rotacionado a cada uso. Uma sessão termina após 30 dias sem uso ou 90 dias depois do primeiro login, e as duas janelas podem ser definidas por projeto.
Leia os detalhes
O guia de login cobre janelas de sessão, logout e duração dos tokens, e a lista de sessões do console não tem página de documentação própria.