Проверьте, какие приложения и сайты подключены к вашему аккаунту Google (и отмените их доступ)

Каждый раз, когда вы нажимаете «Войти через Google» в каком-либо приложении или на веб-сайте, вы не просто входите в систему один раз — вы предоставляете этому приложению постоянный доступ к своей учетной записи Google, который остается активным до тех пор, пока вы не отзовете его вручную. Большинство людей никогда не проверяют этот список, и он имеет тенденцию расти годами: приложение, которое вы попробовали один раз в 2019 году, расширение для браузера, о установке которого вы забыли, проект хакатона, который запрашивал доступ к вашим контактам. Вот где именно нужно искать и как очистить этот список.

Где посмотреть все приложения, подключенные к вашему аккаунту Google

Перейдите на страницу myaccount.google.com/permissions (или: Аккаунт Google → Безопасность → «Сторонние приложения с доступом к аккаунту»).

На этой странице перечислены все приложения и сайты, которым когда-либо был предоставлен доступ по OAuth к вашему аккаунту Google — а не только те, которыми вы активно пользуетесь. Нажмите на любую запись, чтобы увидеть, к чему именно у приложения есть доступ: к вашему адресу электронной почты, фотографии профиля, контактам, файлам на Google Диске, Календарю или (гораздо реже, но стоит проверить) полному доступу к аккаунту.

Что на самом деле означают уровни разрешений

Google группирует права доступа по приблизительным уровням, и разница между ними имеет значение:

Базовая информация профиля (имя, электронная почта, фотография) — низкий риск. Именно это запрашивает почти каждая кнопка «Войти с помощью Google»; это равносильно тому, что приложение знает, кто вы.
Просмотр, редактирование, создание или удаление ваших файлов на Google Диске — это значительно более широкий доступ. Приложение с таким разрешением может читать документы, которыми вы никогда не собирались с ним делиться.
Чтение, отправка, удаление и управление вашей электронной почтой — самое распространенное разрешение с наивысшим уровнем риска. Очень немногие легитимные приложения нуждаются в этом; если у какого-то приложения, которое вы не узнаете, есть этот доступ, немедленно отзовите его.
Полный доступ к учетной записи — предназначен для инструментов восстановления и миграции учетных записей. Список должен быть крайне коротким, в идеале пустым, за исключением инструментов, которые вы намеренно настроили.

Как отозвать доступ

На странице разрешений нажмите на любое приложение, которым вы больше не пользуетесь или которое вам незнакомо, а затем нажмите «Отменить доступ». Это немедленно аннулирует токены OAuth данного приложения — оно больше не сможет читать ваши данные, и если ему снова понадобится доступ, вам придётся явно повторно авторизовать его.

Отмена доступа не приводит к удалению данных, которые приложение уже загрузило или сохранило на своих серверах до того, как вы отозвали доступ — она лишь блокирует доступ в будущем. Если приложение имело доступ к конфиденциальным данным, и вы не уверены, что оно с ними сделало, это отдельный вопрос, связанный с политикой конфиденциальности самого приложения, а не то, что можно исправить с помощью кнопки отзыва доступа от Google.

Не ограничивайтесь приложениями — проверьте также устройства

Связанная, но отдельная страница myaccount.google.com/device-activity показывает все устройства, на которых в данный момент выполнен вход в вашу учетную запись Google: телефоны, ноутбуки, смарт-телевизоры и т. д. Если вы увидите устройство, которое не узнаете, или которое вы продали/отдали несколько лет назад, но которое по-прежнему находится в списке, нажмите на него и выберите «Выйти». Это самая полезная проверка, которую следует провести, если у вас возникло даже самое смутное подозрение, что ваш пароль мог утечь, поскольку она немедленно прерывает любую сессию, которую может поддерживать злоумышленник, независимо от того, сменили ли вы пароль или нет.

Пятиминутная процедура, которую стоит повторять

Откройте myaccount.google.com/permissions, просмотрите список и удалите всё, чем вы активно не пользуетесь или что вам незнакомо.
Откройте myaccount.google.com/device-activity и завершите сеанс на всех незнакомых устройствах.
Если вы не уверены, не утёк ли уже пароль, который вы используете где-то ещё, проверьте его с помощью сервиса проверки утечек паролей — он сверяет данные с реальными базами утечек, не отправляя ваш фактический пароль никуда.

Для этого не нужно ничего устанавливать или доверять свою учётную запись третьим лицам — всё это встроено в настройки Google, и на это уйдёт меньше времени, чем на чтение этой статьи.