Перевірте, які застосунки й сайти мають доступ до вашого облікового запису Google (і відкличте його)

Щоразу, коли ви натискаєте «Увійти через Google» у якомусь застосунку чи на сайті, ви не просто входите один раз — ви надаєте цьому застосунку постійний доступ до свого облікового запису Google, який залишається активним, доки ви вручну його не відкличете. Більшість людей ніколи не перевіряють цей список, і він роками розростається: застосунок, який ви спробували один раз у 2019-му, розширення для браузера, про яке ви забули, проєкт із хакатону, що попросив доступ до ваших контактів. Ось де саме дивитися і як усе почистити.

Де побачити всі застосунки, під’єднані до вашого акаунта Google

Перейдіть на myaccount.google.com/permissions (або: Обліковий запис Google → Безпека → «Сторонні застосунки з доступом до облікового запису»).

Ця сторінка показує кожен застосунок і сайт, якому будь-коли надавався OAuth-доступ до вашого акаунта Google — не лише ті, якими ви активно користуєтеся. Натисніть на будь-який запис, щоб побачити, до чого саме він має доступ: до вашої електронної адреси, фото профілю, контактів, файлів у Google Drive, Календаря або (значно рідше, але варто перевірити) до повного доступу до акаунта.

Що насправді означають рівні дозволів

Google групує доступ у приблизні рівні, і різниця між ними суттєва:

Базова інформація профілю (ім’я, електронна адреса, фото) — низький ризик. Саме це запитує майже кожна кнопка «Увійти через Google»; це рівнозначно тому, що застосунок знає, хто ви.
Перегляд, редагування, створення або видалення ваших файлів у Google Drive — це відчутно більший дозвіл. Застосунок із таким правом може читати документи, якими ви ніколи не збиралися з ним ділитися.
Читання, надсилання, видалення та керування вашою поштою — найризикованіший із поширених дозволів. Дуже мало легітимних застосунків його потребують; якщо його має щось, чого ви не впізнаєте, відкликайте негайно.
Повний доступ до облікового запису — призначений для інструментів відновлення та міграції акаунта. Цей список має бути надзвичайно коротким, в ідеалі порожнім, окрім інструментів, які ви налаштували свідомо.

Як відкликати доступ

На сторінці дозволів натисніть на будь-який застосунок, яким ви більше не користуєтеся або якого не впізнаєте, а потім натисніть Remove Access («Закрити доступ»). Це негайно анулює OAuth-токени цього застосунку — він більше не зможе читати ваші дані, а якщо йому знову знадобиться доступ, вам доведеться явно авторизувати його повторно.

Відкликання доступу не видаляє дані, які застосунок уже завантажив або зберіг на власних серверах до відкликання — воно лише зупиняє майбутній доступ. Якщо застосунок мав доступ до чутливих даних і ви не впевнені, що він із ними зробив, це окрема розмова з політикою конфіденційності самого застосунку, а не щось, що може скасувати кнопка відкликання від Google.

Не зупиняйтеся на застосунках — перевірте й пристрої

Пов’язана, але окрема сторінка, myaccount.google.com/device-activity, показує кожен пристрій, який зараз увійшов у ваш акаунт Google: телефони, ноутбуки, смарт-телевізори, будь-що. Якщо ви бачите пристрій, якого не впізнаєте, або той, що ви продали чи віддали роки тому, але він досі в списку — натисніть на нього й оберіть Sign out («Вийти»). Це найкорисніша перевірка після того, як ви запідозрили — навіть невиразно — що ваш пароль міг витекти, бо вона миттєво викидає будь-яку сесію, яку може утримувати зловмисник, незалежно від того, чи ви вже змінили пароль.

П’ятихвилинна рутина, яку варто повторювати

Відкрийте myaccount.google.com/permissions, перегляньте список і видаліть усе, чим ви активно не користуєтеся або чого не впізнаєте.
Відкрийте myaccount.google.com/device-activity і завершіть сеанси всього незнайомого.
Якщо ви не впевнені, чи пароль, який ви використовуєте деінде, вже витік, перевірте його через password breach checker — він звіряє з реальними даними витоків, ніколи нікуди не надсилаючи ваш справжній пароль.

Ніщо з цього не вимагає щось встановлювати чи довіряти свій акаунт третій стороні — все це вбудовано в налаштування самого Google і займає менше часу, ніж читання цієї статті.