Sprawdź, które aplikacje i strony są zalogowane na twoje konto Google (i cofnij dostęp)

Za każdym razem, gdy klikasz „Zaloguj się przez Google” na jakiejś aplikacji lub stronie, nie tylko logujesz się jednorazowo — udzielasz tej aplikacji stałego dostępu do konta Google, który pozostaje aktywny, dopóki ręcznie go nie cofniesz. Większość ludzi nigdy nie sprawdza tej listy, a ta ma tendencję do rozrastania się przez lata: aplikacja wypróbowana raz w 2019 roku, rozszerzenie przeglądarki, o którego instalacji zapomniałeś, projekt hackathonowy, który poprosił o twoje kontakty. Oto dokładnie gdzie szukać i jak to posprzątać.

Gdzie zobaczyć każdą aplikację połączoną z kontem Google

Przejdź do myaccount.google.com/permissions (lub: Konto Google → Bezpieczeństwo → „Aplikacje innych firm z dostępem do konta”).

Ta strona wymienia każdą aplikację i witrynę, której kiedykolwiek udzielono dostępu OAuth do twojego konta Google — nie tylko te aktualnie używane. Kliknij dowolny wpis, aby zobaczyć dokładnie, do czego ma dostęp: twój adres e-mail, zdjęcie profilowe, kontakty, pliki Google Drive, kalendarz lub (znacznie rzadziej, ale warto sprawdzić) pełny dostęp do konta.

Co naprawdę oznaczają poziomy uprawnień

Google grupuje dostęp w przybliżone poziomy, a różnica ma znaczenie:

Podstawowe informacje o profilu (imię, e-mail, zdjęcie) — niskie ryzyko. O to prosi niemal każdy przycisk „Zaloguj się przez Google”, co odpowiada temu, że aplikacja wie, kim jesteś.
Wyświetlanie, edytowanie, tworzenie lub usuwanie plików Google Drive — to znacznie większe uprawnienie. Aplikacja z tym dostępem może czytać dokumenty, którymi nigdy nie zamierzałeś się z nią dzielić.
Czytanie, wysyłanie, usuwanie i zarządzanie pocztą e-mail — najbardziej ryzykowne z powszechnych uprawnień. Bardzo niewiele legalnych aplikacji tego potrzebuje; jeśli ma je coś, czego nie rozpoznajesz, natychmiast cofnij dostęp.
Pełny dostęp do konta — zarezerwowane dla narzędzi odzyskiwania i migracji konta. Powinna to być bardzo krótka lista, najlepiej pusta, poza narzędziami, które celowo skonfigurowałeś.

Jak cofnąć dostęp

Na stronie uprawnień kliknij dowolną aplikację, której już nie używasz lub nie rozpoznajesz, a następnie kliknij Usuń dostęp. To natychmiast unieważnia tokeny OAuth tej aplikacji — nie może już czytać twoich danych, a jeśli znów będzie potrzebować dostępu, będziesz musiał wyraźnie ją ponownie autoryzować.

Usunięcie dostępu nie kasuje żadnych danych, które aplikacja już pobrała lub przechowała na własnych serwerach przed cofnięciem dostępu — zatrzymuje jedynie przyszły dostęp. Jeśli aplikacja miała dostęp do wrażliwych danych i nie masz pewności, co z nimi zrobiła, to osobna sprawa dotycząca polityki prywatności tej aplikacji, a nie coś, co może cofnąć przycisk Google.

Nie kończ na aplikacjach — sprawdź też urządzenia

Powiązana, ale osobna strona, myaccount.google.com/device-activity, pokazuje każde urządzenie aktualnie zalogowane na twoje konto Google: telefony, laptopy, smart TV, wszystko. Jeśli widzisz urządzenie, którego nie rozpoznajesz, lub takie, które sprzedałeś/oddałeś lata temu, a nadal jest na liście, kliknij je i wybierz Wyloguj. To pojedyncza najbardziej użyteczna czynność po tym, jak podejrzewasz — nawet niejasno — że twoje hasło mogło wyciec, ponieważ natychmiast wyrzuca każdą sesję, którą mógłby przetrzymywać atakujący, niezależnie od tego, czy zmieniłeś już hasło.

Pięciominutowa rutyna, którą warto powtarzać

Otwórz myaccount.google.com/permissions, przejrzyj listę i usuń wszystko, czego aktywnie nie używasz lub nie rozpoznajesz.
Otwórz myaccount.google.com/device-activity i wyloguj wszystko, co nieznane.
Jeśli nie masz pewności, czy hasło używane gdzie indziej już wyciekło, sprawdź je w narzędziu do sprawdzania wycieków haseł — porównuje je z rzeczywistymi danymi z wycieków, nigdy nie wysyłając nigdzie twojego rzeczywistego hasła.

Nic z tego nie wymaga instalowania czegokolwiek ani powierzania konta stronie trzeciej — wszystko jest wbudowane we własne ustawienia Google i zajmuje mniej czasu, niż zajęło przeczytanie tego artykułu.