Kiểm tra ứng dụng và trang web nào đang đăng nhập vào tài khoản Google của bạn (và thu hồi quyền truy cập)

Mỗi lần bạn nhấn “Đăng nhập bằng Google” trên một ứng dụng hay trang web nào đó, bạn không chỉ đăng nhập một lần — bạn đang cấp cho ứng dụng đó quyền truy cập lâu dài vào tài khoản Google của mình, và quyền này vẫn tiếp tục có hiệu lực cho đến khi bạn tự tay thu hồi. Hầu hết mọi người không bao giờ kiểm tra danh sách này, và nó thường phình to theo năm tháng: một ứng dụng bạn thử một lần vào năm 2019, một tiện ích mở rộng trình duyệt mà bạn quên mất là đã cài, hay một dự án hackathon từng xin quyền truy cập danh bạ của bạn. Dưới đây là nơi chính xác để kiểm tra và cách dọn dẹp nó.

Xem toàn bộ ứng dụng đã kết nối với tài khoản Google của bạn ở đâu

Truy cập myaccount.google.com/permissions (hoặc: Tài khoản Google → Bảo mật → “Ứng dụng của bên thứ ba có quyền truy cập tài khoản”).

Trang này liệt kê mọi ứng dụng và trang web từng được cấp quyền truy cập OAuth vào tài khoản Google của bạn — không chỉ những ứng dụng bạn đang thực sự sử dụng. Nhấp vào bất kỳ mục nào để xem chính xác ứng dụng đó có thể truy cập những gì: địa chỉ email, ảnh đại diện, danh bạ, tệp trên Google Drive, Lịch, hoặc (hiếm gặp hơn nhiều, nhưng đáng để kiểm tra) toàn quyền truy cập tài khoản.

Các cấp quyền thực sự có ý nghĩa gì

Google chia quyền truy cập thành các nhóm tương đối, và sự khác biệt giữa chúng rất quan trọng:

Thông tin hồ sơ cơ bản (tên, email, ảnh) — rủi ro thấp. Đây là những gì hầu hết mọi nút “Đăng nhập bằng Google” yêu cầu, tương đương với việc ứng dụng biết bạn là ai.
Xem, chỉnh sửa, tạo hoặc xóa tệp trên Google Drive — đây là một quyền lớn hơn đáng kể. Một ứng dụng có quyền này có thể đọc những tài liệu mà bạn chưa bao giờ có ý định chia sẻ với nó.
Đọc, gửi, xóa và quản lý email — quyền phổ biến có rủi ro cao nhất. Rất ít ứng dụng hợp pháp thực sự cần quyền này; nếu thấy một ứng dụng lạ có quyền này, hãy thu hồi ngay lập tức.
Toàn quyền truy cập tài khoản — dành riêng cho các công cụ khôi phục hoặc di chuyển tài khoản. Danh sách này nên cực kỳ ngắn, tốt nhất là trống rỗng, ngoại trừ những công cụ bạn chủ động thiết lập.

Cách thu hồi quyền truy cập

Trên trang quản lý quyền, nhấp vào bất kỳ ứng dụng nào bạn không còn dùng hoặc không nhận ra, sau đó nhấp Xóa quyền truy cập (Remove Access). Thao tác này ngay lập tức vô hiệu hóa token OAuth của ứng dụng đó — nó không còn đọc được dữ liệu của bạn nữa, và nếu cần truy cập lại, bạn sẽ phải cấp quyền lại từ đầu.

Thu hồi quyền truy cập không xóa bất kỳ dữ liệu nào mà ứng dụng đã tải về hoặc lưu trữ trên máy chủ riêng của họ trước khi bạn thu hồi — nó chỉ ngăn chặn việc truy cập trong tương lai. Nếu một ứng dụng từng có quyền truy cập dữ liệu nhạy cảm và bạn không chắc họ đã làm gì với nó, đó là một vấn đề khác cần tra cứu trong chính sách quyền riêng tư của ứng dụng đó, chứ nút thu hồi của Google không thể xử lý được điều đó.

Đừng chỉ dừng ở ứng dụng — hãy kiểm tra cả thiết bị

Một trang liên quan nhưng riêng biệt, myaccount.google.com/device-activity, hiển thị mọi thiết bị hiện đang đăng nhập vào tài khoản Google của bạn: điện thoại, laptop, tivi thông minh, bất cứ thứ gì. Nếu bạn thấy một thiết bị lạ, hoặc một thiết bị bạn đã bán/cho từ nhiều năm trước mà vẫn còn trong danh sách, hãy nhấp vào và chọn Đăng xuất. Đây là bước kiểm tra hữu ích nhất sau khi bạn nghi ngờ — dù chỉ là mơ hồ — rằng mật khẩu của mình có thể đã bị rò rỉ, vì nó ngay lập tức đẩy mọi phiên đăng nhập mà kẻ tấn công có thể đang giữ ra khỏi tài khoản, bất kể bạn đã đổi mật khẩu hay chưa.

Một thói quen năm phút đáng lặp lại

Mở myaccount.google.com/permissions, rà soát danh sách, và xóa bất kỳ mục nào bạn không thực sự dùng hoặc không nhận ra.
Mở myaccount.google.com/device-activity và đăng xuất bất kỳ thiết bị lạ nào.
Nếu chưa chắc một mật khẩu bạn đang dùng ở nơi khác đã từng bị rò rỉ hay chưa, hãy kiểm tra bằng công cụ kiểm tra rò rỉ mật khẩu — công cụ này đối chiếu với dữ liệu rò rỉ thực tế mà không bao giờ gửi mật khẩu thật của bạn đi bất cứ đâu.

Tất cả những việc này không đòi hỏi cài đặt bất cứ thứ gì hay giao phó tài khoản của bạn cho bên thứ ba nào — mọi thứ đều nằm sẵn trong cài đặt của chính Google, và tốn ít thời gian hơn cả việc đọc xong bài viết này.