Preveri, katere aplikacije in strani imajo dostop do tvojega Google računa (in jim ga odvzemi)

Vsakič, ko na kakšni aplikaciji ali spletni strani klikneš »Sign in with Google«, se ne prijaviš samo enkrat — tej aplikaciji podeliš stalen dostop do svojega Google računa, ki ostane aktiven, dokler ga ročno ne prekličeš. Večina ljudi tega seznama nikoli ne preveri, zato se leta in leta samo daljša: aplikacija, ki si jo preizkusil enkrat leta 2019, razširitev za brskalnik, na katero si pozabil, hackathonski projekt, ki je zahteval dostop do tvojih stikov. Tukaj je natančno, kje pogledati in kako pospraviti.

Kje vidiš vse aplikacije, povezane s tvojim Google računom

Pojdi na myaccount.google.com/permissions (ali: Google Account → Security → »Third-party apps with account access«).

Ta stran našteje vsako aplikacijo in stran, ki ji je bil kdaj koli podeljen OAuth dostop do tvojega Google računa — ne samo tistih, ki jih aktivno uporabljaš. Klikni kateri koli vnos in videl boš, do česa točno lahko dostopa: do tvojega e-poštnega naslova, profilne slike, stikov, datotek v Google Drive, koledarja ali (precej redkeje, a vredno preveriti) do celotnega računa.

Kaj ravni dovoljenj dejansko pomenijo

Google dostop razvršča v grobe stopnje in razlika je pomembna:

Osnovni podatki profila (ime, e-pošta, slika) — nizko tveganje. To zahteva skoraj vsak gumb »Sign in with Google«; v praksi pomeni, da aplikacija ve, kdo si.
Ogled, urejanje, ustvarjanje ali brisanje tvojih datotek v Google Drive — to je občutno večje pooblastilo. Aplikacija s tem dovoljenjem lahko bere dokumente, ki jih nikoli nisi nameraval deliti z njo.
Branje, pošiljanje, brisanje in upravljanje tvoje e-pošte — najbolj tvegano pogosto dovoljenje. Zelo malo legitimnih aplikacij ga potrebuje; če ga ima nekaj, česar ne prepoznaš, dostop prekliči takoj.
Poln dostop do računa — rezerviran za orodja za obnovitev računa in selitve. Ta seznam bi moral biti izjemno kratek, v idealnem primeru prazen, razen orodij, ki si jih nastavil namenoma.

Kako preklicati dostop

Na strani z dovoljenji klikni katero koli aplikacijo, ki je ne uporabljaš več ali je ne prepoznaš, nato klikni Remove Access. To takoj razveljavi OAuth žetone te aplikacije — tvojih podatkov ne more več brati, in če bo dostop spet potrebovala, jo boš moral izrecno ponovno pooblastiti.

Odvzem dostopa ne izbriše podatkov, ki jih je aplikacija že prenesla ali shranila na svojih strežnikih, preden si ga preklical — ustavi samo prihodnji dostop. Če je imela aplikacija dostop do občutljivih podatkov in nisi prepričan, kaj je z njimi počela, je to ločena zgodba, ki jo ureja njena lastna politika zasebnosti — Googlov gumb za preklic tega ne more razveljaviti.

Ne ustavi se pri aplikacijah — preveri tudi naprave

Sorodna, a ločena stran, myaccount.google.com/device-activity, prikazuje vsako napravo, ki je trenutno prijavljena v tvoj Google račun: telefone, prenosnike, pametne televizorje, kar koli. Če vidiš napravo, ki je ne prepoznaš, ali takšno, ki si jo pred leti prodal ali podaril in je še vedno na seznamu, jo klikni in izberi Sign out. To je najbolj koristen ukrep, ko sumiš — pa čeprav samo bežno — da je tvoje geslo morda ušlo, ker takoj vrže ven vsako sejo, ki bi jo lahko držal napadalec, ne glede na to, ali si geslo že zamenjal.

Petminutna rutina, vredna ponavljanja

Odpri myaccount.google.com/permissions, preglej seznam in odstrani vse, česar aktivno ne uporabljaš ali ne prepoznaš.
Odpri myaccount.google.com/device-activity in odjavi vse neznano.
Če nisi prepričan, ali je geslo, ki ga uporabljaš tudi drugje, že ušlo, ga preveri z orodjem password breach checker — preverja proti resničnim podatkom o vdorih, ne da bi tvoje dejansko geslo kamor koli poslalo.

Nič od tega ne zahteva nameščanja česar koli ali zaupanja tretji osebi s tvojim računom — vse je vgrajeno v Googlove lastne nastavitve in vzame manj časa, kot ga je branje tega članka.