Bekijk welke apps en sites toegang hebben tot je Google-account (en trek toegang in)

Elke keer dat je op “Inloggen met Google” klikt bij een app of website, log je niet slechts één keer in — je geeft die app doorlopende toegang tot je Google-account, en die blijft actief totdat je hem handmatig intrekt. De meeste mensen bekijken deze lijst nooit, en hij groeit vaak jarenlang door: een app die je in 2019 één keer probeerde, een browserextensie die je bent vergeten, een hackathonproject dat om je contacten vroeg. Hier zie je precies waar je moet kijken en hoe je opruimt.

Waar je elke app ziet die aan je Google-account gekoppeld is

Ga naar myaccount.google.com/permissions (of: Google-account → Beveiliging → “Apps van derden met accounttoegang”).

Deze pagina toont elke app en site die ooit OAuth-toegang tot je Google-account heeft gekregen — niet alleen de apps die je actief gebruikt. Klik op een item om precies te zien waar het bij kan: je e-mailadres, je profielfoto, je contacten, je Google Drive-bestanden, je Agenda, of (veel zeldzamer, maar het controleren waard) volledige accounttoegang.

Wat de toestemmingsniveaus werkelijk betekenen

Google deelt toegang grofweg in niveaus in, en het verschil is belangrijk:

Basisprofielinfo (naam, e-mail, foto) — laag risico. Dit is wat vrijwel elke “Inloggen met Google”-knop vraagt; het komt erop neer dat de app weet wie je bent.
Je Google Drive-bestanden bekijken, bewerken, aanmaken of verwijderen — dit is een aanzienlijk grotere toestemming. Een app met deze permissie kan documenten lezen die je nooit met hem wilde delen.
Je e-mail lezen, verzenden, verwijderen en beheren — de meest risicovolle veelvoorkomende permissie. Heel weinig legitieme apps hebben dit nodig; als iets wat je niet herkent deze toegang heeft, trek die dan direct in.
Volledige accounttoegang — voorbehouden aan tools voor accountherstel en migratie. Dit zou een extreem korte lijst moeten zijn, idealiter leeg op tools na die je bewust hebt ingesteld.

Zo trek je toegang in

Klik op de toestemmingenpagina op een app die je niet meer gebruikt of niet herkent, en klik dan op Toegang verwijderen. Dit maakt de OAuth-tokens van die app direct ongeldig — hij kan je gegevens niet meer lezen, en als hij opnieuw toegang nodig heeft, moet je die expliciet opnieuw goedkeuren.

Toegang verwijderen wist geen gegevens die de app al vóór het intrekken heeft gedownload of op zijn eigen servers heeft opgeslagen — het stopt alleen toekomstige toegang. Had een app toegang tot gevoelige gegevens en weet je niet zeker wat hij ermee heeft gedaan, dan is dat een apart gesprek met het privacybeleid van die app zelf; de intrekknop van Google kan dat niet terugdraaien.

Stop niet bij apps — controleer ook je apparaten

Een verwante maar aparte pagina, myaccount.google.com/device-activity, toont elk apparaat dat momenteel is ingelogd op je Google-account: telefoons, laptops, smart-tv’s, alles. Zie je een apparaat dat je niet herkent, of eentje dat je jaren geleden hebt verkocht of weggegeven maar dat er nog steeds staat, klik erop en kies Uitloggen. Dit is de nuttigste controle wanneer je — zelfs maar vaag — vermoedt dat je wachtwoord is gelekt, want het gooit direct elke sessie eruit die een aanvaller mogelijk openhoudt, los van de vraag of je je wachtwoord al hebt gewijzigd.

Een routine van vijf minuten die je vaker mag herhalen

Open myaccount.google.com/permissions, scan de lijst en verwijder alles wat je niet actief gebruikt of niet herkent.
Open myaccount.google.com/device-activity en log alles uit wat je niet kent.
Weet je niet zeker of een wachtwoord dat je ook elders gebruikt al is gelekt, haal het dan door een password breach checker — die controleert tegen echte breach-data zonder je werkelijke wachtwoord ooit ergens naartoe te sturen.

Niets hiervan vereist dat je iets installeert of een derde partij vertrouwt met je account — het zit allemaal ingebouwd in Googles eigen instellingen, en het kost minder tijd dan het lezen van dit artikel.