Verifique quais as aplicações e os sites que estão associados à sua conta Google (e revogue o acesso)

Sempre que clica em «Iniciar sessão com o Google» numa aplicação ou num site, não está apenas a iniciar sessão uma vez — está a conceder a essa aplicação acesso permanente à sua conta do Google, que permanece ativo até o revogar manualmente. A maioria das pessoas nunca verifica esta lista, que tende a crescer ao longo dos anos: uma aplicação que experimentou uma vez em 2019, uma extensão de navegador que se esqueceu de ter instalado, um projeto de hackathon que solicitou os seus contactos. Eis exatamente onde procurar e como limpar tudo isto.

Onde ver todas as aplicações ligadas à sua conta Google

Aceda a myaccount.google.com/permissions (ou: Conta Google → Segurança → «Aplicações de terceiros com acesso à conta»).

Esta página lista todas as aplicações e sites a que alguma vez foi concedido acesso OAuth à sua conta Google — não apenas aqueles que está a utilizar ativamente. Clique em qualquer entrada para ver exatamente a que tem acesso: o seu endereço de e-mail, a sua foto de perfil, os seus contactos, os seus arquivos do Google Drive, o seu Calendário ou (muito mais raramente, mas vale a pena verificar) acesso total à conta.

O que os níveis de permissão significam realmente

O Google agrupa o acesso em níveis aproximados, e a diferença é importante:

Informações básicas do perfil (nome, e-mail, foto) — risco baixo. É isto que quase todos os botões «Iniciar sessão com o Google» solicitam, o que equivale à aplicação saber quem você é.
Ver, editar, criar ou eliminar os seus arquivos do Google Drive — esta é uma autorização significativamente mais ampla. Uma aplicação com esta permissão pode ler documentos que nunca pretendeu partilhar com ela.
Ler, enviar, eliminar e gerir o seu e-mail — a permissão comum de maior risco. Muito poucas aplicações legítimas precisam disso; se alguma aplicação que não reconheça tiver essa permissão, revogue-a imediatamente.
Acesso total à conta — reservado para ferramentas de recuperação e migração de contas. Deve ser uma lista extremamente curta, idealmente vazia, exceto pelas ferramentas que configurou deliberadamente.

Como revogar o acesso

Na página de permissões, clique em qualquer aplicação que já não utilize ou que não reconheça e, em seguida, clique em Remover acesso. Isto invalida imediatamente os tokens OAuth dessa aplicação — ela já não pode ler os seus dados e, se precisar de acesso novamente, terá de a reautorizar explicitamente.

A remoção do acesso não apaga quaisquer dados que a aplicação já tenha descarregado ou armazenado nos seus próprios servidores antes de o ter revogado — apenas impede o acesso futuro. Se uma aplicação teve acesso a dados confidenciais e não tem a certeza do que ela fez com esses dados, isso é uma questão a tratar com a política de privacidade da própria aplicação, e não algo que o botão de revogação do Google possa reverter.

Não se limite às aplicações — verifique também os dispositivos

Uma página relacionada, mas separada, myaccount.google.com/device-activity, mostra todos os dispositivos atualmente com sessão iniciada na sua conta Google: telemóveis, portáteis, smart TVs, entre outros. Se vir um dispositivo que não reconhece, ou um que vendeu/deu há anos e que ainda consta da lista, clique nele e selecione Sair. Esta é a verificação mais útil a realizar depois de suspeitar — mesmo que vagamente — que a sua palavra-passe possa ter sido divulgada, porque encerra imediatamente qualquer sessão que um invasor possa estar a manter, independentemente de já ter alterado a sua palavra-passe ou não.

Uma rotina de cinco minutos que vale a pena repetir

Abra myaccount.google.com/permissions, analise a lista e remova tudo o que não utiliza ativamente ou não reconhece.
Abra myaccount.google.com/device-activity e saia de qualquer sessão que não lhe seja familiar.
Se não tiver a certeza se uma palavra-passe que utiliza noutro local já foi divulgada, verifique-a através de um verificador de violações de palavras-passe — este compara com dados reais de violações sem nunca enviar a sua palavra-passe real para lado nenhum.

Nada disto requer a instalação de nada nem que confie a sua conta a terceiros — está tudo integrado nas próprias definições do Google e demora menos tempo do que demorou a ler este artigo.