Vérifiez quelles applications et sites sont connectés à votre compte Google (et révoquez l'accès)

Chaque fois que vous cliquez sur « Se connecter avec Google » sur une application ou un site, vous ne vous connectez pas seulement une fois — vous accordez à cette application un accès permanent à votre compte Google, qui reste actif jusqu’à ce que vous le révoquiez manuellement. La plupart des gens ne vérifient jamais cette liste, et elle a tendance à s’allonger pendant des années : une application essayée une fois en 2019, une extension de navigateur que vous avez oublié avoir installée, un projet de hackathon qui a demandé l’accès à vos contacts. Voici exactement où regarder et comment faire le ménage.

Où voir toutes les applications connectées à votre compte Google

Rendez-vous sur myaccount.google.com/permissions (ou : Compte Google → Sécurité → « Applications tierces disposant d’un accès au compte »).

Cette page répertorie toutes les applications et tous les sites ayant déjà reçu un accès OAuth à votre compte Google — pas seulement ceux que vous utilisez activement. Cliquez sur n’importe quelle entrée pour voir exactement ce à quoi elle peut accéder : votre adresse e-mail, votre photo de profil, vos contacts, vos fichiers Google Drive, votre agenda, ou (bien plus rarement, mais à vérifier) un accès complet au compte.

Ce que signifient vraiment les niveaux de permission

Google regroupe les accès en paliers approximatifs, et la différence compte :

Informations de profil de base (nom, e-mail, photo) — risque faible. C’est ce que demandent presque tous les boutons « Se connecter avec Google », l’équivalent de savoir qui vous êtes.
Voir, modifier, créer ou supprimer vos fichiers Google Drive — c’est une autorisation nettement plus importante. Une application disposant de cette permission peut lire des documents que vous n’aviez jamais l’intention de partager avec elle.
Lire, envoyer, supprimer et gérer vos e-mails — la permission courante la plus risquée. Très peu d’applications légitimes en ont besoin ; si une application que vous ne reconnaissez pas la possède, révoquez-la immédiatement.
Accès complet au compte — réservé aux outils de récupération ou de migration de compte. Cette liste devrait être extrêmement courte, idéalement vide sauf pour les outils que vous avez délibérément configurés.

Comment révoquer l’accès

Sur la page des permissions, cliquez sur une application que vous n’utilisez plus ou que vous ne reconnaissez pas, puis cliquez sur Supprimer l’accès. Cela invalide immédiatement les jetons OAuth de cette application — elle ne peut plus lire vos données, et si elle a de nouveau besoin d’accès, vous devrez l’autoriser explicitement à nouveau.

Supprimer l’accès ne supprime pas les données que l’application a déjà téléchargées ou stockées sur ses propres serveurs avant que vous ne le révoquiez — cela arrête seulement l’accès futur. Si une application avait accès à des données sensibles et que vous ne savez pas ce qu’elle en a fait, c’est une question distincte relevant de la politique de confidentialité de cette application elle-même, pas quelque chose que le bouton de révocation de Google puisse annuler.

Ne vous arrêtez pas aux applications — vérifiez aussi les appareils

Une page associée mais distincte, myaccount.google.com/device-activity, affiche tous les appareils actuellement connectés à votre compte Google : téléphones, ordinateurs portables, téléviseurs connectés, tout. Si vous voyez un appareil que vous ne reconnaissez pas, ou un appareil vendu ou donné il y a des années mais toujours répertorié, cliquez dessus et sélectionnez Se déconnecter. C’est la vérification la plus utile à faire dès que vous soupçonnez — même vaguement — que votre mot de passe a pu fuiter, car elle expulse immédiatement toute session qu’un attaquant pourrait détenir, que vous ayez déjà changé votre mot de passe ou non.

Une routine de cinq minutes qui vaut la peine d’être répétée

Ouvrez myaccount.google.com/permissions, parcourez la liste et supprimez tout ce que vous n’utilisez pas activement ou ne reconnaissez pas.
Ouvrez myaccount.google.com/device-activity et déconnectez tout appareil inconnu.
Si vous n’êtes pas sûr qu’un mot de passe que vous utilisez ailleurs a déjà fuité, vérifiez-le avec un vérificateur de fuites de mots de passe — il vérifie par rapport à de vraies données de fuites sans jamais envoyer votre mot de passe réel où que ce soit.

Rien de tout cela ne nécessite d’installer quoi que ce soit ni de confier votre compte à un tiers — tout est intégré aux paramètres de Google eux-mêmes, et cela prend moins de temps que la lecture de cet article.