Кнопка входа через Google создает скрытые риски

Функция входа через Google по-прежнему популярна среди разработчиков и пользователей, однако таит в себе серьезные проблемы с безопасностью. При авторизации через этот способ сервисы получают специальные цифровые токены — своего рода ключи доступа к вашему аккаунту. Главное отличие в том, что эти токены хранятся на серверах разработчика, а не на вашем устройстве.

Как работают токены доступа и почему их сложно отозвать

Именно поэтому простое удаление приложения со смартфона совершенно не информирует внешний сервер о прекращении сотрудничества. Токен теряет действие только при определенных обстоятельствах: когда пользователь вручную отзывает разрешение в настройках аккаунта, если токен не используется более шести месяцев, либо когда администратор вводит принудительное ограничение.

Однако здесь кроется главная опасность — фоновая активность приложений. Если сервис всего лишь раз в неделю синхронизирует ваш календарь или список контактов, то шестимесячный таймер каждый раз обнуляется, превращая доступ в практически бессрочный.

Почему смена пароля не решает проблему

Стандартный совет изменить пароль помогает только отчасти. Обновление главного пароля аннулирует токены исключительно для сервисов с доступом к Gmail. При этом авторизация на внешних сайтах и доступ к Google Диску, Календарю, контактам и другим сервисам остаются полностью активными даже после смены пароля.

Двухфакторная аутентификация также не защищает от утечек через украденные токены, так как токен воспринимается системой как уже проверенный и авторизованный пропуск.

Как закрыть доступ и проверить разрешения

Чтобы прекратить доступ третьих лиц, необходимо вручную проверять перечень авторизованных приложений. Для Google это делается в кабинете связанных приложений, где нужно проверить три категории: "Вход через Google", "Доступ к аккаунту" и "Связанные аккаунты". Похожие разделы есть у Apple (в настройках "Вход и безопасность"), Microsoft (в разделе конфиденциальности), а также у X и Meta.

Важно помнить, что даже после удаления связи приложения данные, которые уже были передано разработчику, остаются на его серверах. Для полного удаления информации потребуется обращение в службу поддержки конкретного сервиса.