Verifica quali app e siti sono collegati al tuo account Google (e revoca l'accesso)

Ogni volta che clicchi su “Accedi con Google” in un’app o su un sito web, non stai semplicemente effettuando un accesso una tantum: stai concedendo a quell’app l’accesso permanente al tuo account Google, che rimane attivo finché non lo revochi manualmente. La maggior parte delle persone non controlla mai questo elenco, che tende ad allungarsi nel corso degli anni: un’app che hai provato una volta nel 2019, un’estensione del browser che ti sei dimenticato di aver installato, un progetto di hackathon che ti ha chiesto i tuoi contatti. Ecco esattamente dove cercare e come ripulirlo.

Dove visualizzare tutte le app collegate al tuo account Google

Vai su myaccount.google.com/permissions (oppure: Account Google → Sicurezza → “App di terze parti con accesso all’account”).

Questa pagina elenca tutte le app e i siti a cui è mai stato concesso l’accesso OAuth al tuo account Google — non solo quelli che stai utilizzando attivamente. Clicca su qualsiasi voce per vedere esattamente a cosa può accedere: il tuo indirizzo email, la tua foto del profilo, i tuoi contatti, i tuoi file su Google Drive, il tuo Calendario o (molto più raramente, ma vale la pena controllare) l’accesso completo all’account.

Cosa significano effettivamente i livelli di autorizzazione

Google raggruppa gli accessi in livelli approssimativi, e la differenza è importante:

Informazioni di base sul profilo (nome, email, foto) — rischio basso. È ciò che richiede quasi ogni pulsante “Accedi con Google”, equivalente al fatto che l’app sappia chi sei.
Visualizzare, modificare, creare o eliminare i tuoi file su Google Drive — si tratta di un’autorizzazione significativamente più ampia. Un’app con questa autorizzazione può leggere documenti che non avresti mai voluto condividere con essa.
Leggere, inviare, eliminare e gestire la tua posta elettronica — l’autorizzazione comune a più alto rischio. Pochissime app legittime ne hanno bisogno; se un’app che non riconosci ne dispone, revoca immediatamente l’autorizzazione.
Accesso completo all’account — riservato agli strumenti di recupero e migrazione dell’account. Dovrebbe trattarsi di un elenco estremamente breve, idealmente vuoto se non per gli strumenti che hai configurato deliberatamente.

Come revocare l’accesso

Nella pagina delle autorizzazioni, clicca su qualsiasi app che non usi più o che non riconosci, quindi clicca su Rimuovi accesso. Ciò invalida immediatamente i token OAuth di quell’app: non potrà più leggere i tuoi dati e, se avrà nuovamente bisogno di accedere, dovrai autorizzarla esplicitamente di nuovo.

La revoca dell’accesso non elimina i dati che l’app ha già scaricato o archiviato sui propri server prima della revoca: blocca solo l’accesso futuro. Se un’app aveva accesso a dati sensibili e non sei sicuro di cosa ne abbia fatto, si tratta di una questione che riguarda l’informativa sulla privacy dell’app stessa, non qualcosa che il pulsante di revoca di Google possa annullare.

Non limitarti alle app: controlla anche i dispositivi

Una pagina correlata ma separata, myaccount.google.com/device-activity, mostra tutti i dispositivi attualmente connessi al tuo account Google: telefoni, laptop, smart TV, qualsiasi cosa. Se vedi un dispositivo che non riconosci, o uno che hai venduto o regalato anni fa e che è ancora nell’elenco, cliccaci sopra e seleziona Esci. Questo è il controllo più utile in assoluto dopo che sospetti — anche vagamente — che la tua password possa essere trapelata, perché interrompe immediatamente qualsiasi sessione che un malintenzionato potrebbe avere in corso, indipendentemente dal fatto che tu abbia già cambiato la password o meno.

Una routine di cinque minuti che vale la pena ripetere

Apri myaccount.google.com/permissions, dai un’occhiata all’elenco e rimuovi tutto ciò che non usi attivamente o che non riconosci.
Apri myaccount.google.com/device-activity e disconnettiti da qualsiasi dispositivo che non ti sia familiare.
Se non sei sicuro che una password che usi altrove sia già trapelata, provala con uno strumento di verifica delle violazioni delle password: confronta i dati con quelli reali delle violazioni senza mai inviare la tua password effettiva da nessuna parte.

Nessuna di queste operazioni richiede l’installazione di alcun software né di affidare il proprio account a terze parti: è tutto integrato nelle impostazioni di Google e richiede meno tempo di quanto ne sia servito per leggere questo articolo.