Pańskie nowe hasło do Google nie blokuje dostępu do starych aplikacji

Po przeżyciu strachu niemal każdy reaguje w ten sam sposób. E-mail wydaje się podejrzany, w podglądzie konta pojawia się nieznane logowanie, a pierwszym krokiem jest zmiana hasła. Nowe hasło, sprawdzenie uwierzytelniania dwuskładnikowego – i przez chwilę wydaje się, że wszystko wróciło do normy.

W przypadku Google to poczucie bezpieczeństwa utrzymuje się tylko w połowie. W dokumentacji dla programistów wymieniono powody, dla których aplikacja zewnętrzna traci dostęp do Państwa konta. Jednym z nich jest zmiana hasła przez użytkownika oraz fakt, że token odświeżający zawiera uprawnienia dotyczące Gmaila. To niewielkie słowo „i” ma ogromne znaczenie. Jeśli aplikacja ma dostęp do Państwa skrzynki odbiorczej, traci dostęp. Jeśli ma dostęp do Państwa zdjęć, kalendarza, kontaktów lub plików w Dysku, zachowuje dostęp.

Nie jest to sytuacja skrajna, ponieważ przycisk „Zaloguj się przez Google” znajduje się w dziesiątkach tysięcy aplikacji, a tylko nieliczne z nich kiedykolwiek potrzebowały dostępu do Państwa poczty. Potrzebowały one Państwa profilu, zdjęć i kalendarza. To właśnie te uprawnienia pozostają nienaruszone po zmianie hasła.

Sześć powodów, a tylko jeden z nich dotyczy Państwa

Google wymienia sześć sytuacji, w których uprawnienie dostępu przestaje działać. Użytkownik je cofa, token nie był używany przez sześć miesięcy, hasło zostało zmienione i dotyczy to Gmaila, konto przekroczyło limit aktywnych uprawnień, wygasło uprawnienie ograniczone czasowo lub administrator ograniczył dostęp do jednej z usług.

Proszę przeczytać tę listę jeszcze raz, zaczynając od końca. Cztery z sześciu sytuacji mają miejsce bez Państwa udziału i bez powiadomienia. Przypadek związany z hasłem ma znaczenie tylko wtedy, gdy w grę wchodzi Gmail. Pozostaje więc dokładnie jedna opcja, nad którą mają Państwo kontrolę, a nazywa się ona „usuń dostęp”.

W standardowej pomocy dotyczącej kont Google to samo wyjaśniono prostszym językiem. Zmiana hasła powoduje wylogowanie we wszystkich miejscach – pisze Google – z trzema wyjątkami. Są to urządzenia, których używa Pan/Pani do weryfikacji tożsamości, niektóre urządzenia z aplikacjami innych firm, którym przyznał Pan/Pani dostęp do konta, oraz połączone urządzenia inteligentnego domu.

Istnieje jeden mechanizm, który może rzeczywiście uniemożliwić dostęp z zewnątrz. Google nazywa go „ochroną międzykontową” i wykorzystuje go do wysyłania alertów bezpieczeństwa do połączonych usług, które mogą następnie wylogować Państwa ze swoich systemów. Mechanizm ten uruchamia się w przypadku podejrzanych zdarzeń, takich jak przejęcie lub zawieszenie konta, a dostawca musi wyrazić na to zgodę. Samodzielna zmiana hasła nie należy do tych zdarzeń.

Uprawnienie pozostaje ważne dłużej niż klucz

W codziennym użytkowaniu pewna kwestia często umyka uwadze. Istnieje klucz techniczny, którego aplikacja używa, aby uzyskać dostęp do Państwa konta, oraz uprawnienie, na które wyrazili Państwo zgodę w pewnym momencie – te dwa elementy nie wygasają jednocześnie.

Klucz wygasa, gdy nikt nie korzystał z niego przez sześć miesięcy, podczas gdy uprawnienie pozostaje aktywne. Pozostaje ono w Państwa koncie jako wpis, a gdy dwa lata później ponownie otworzą Państwo aplikację, po prostu działa, bez wyświetlania nigdzie ekranu z prośbą o ponowną zgodę. Z Państwa perspektywy wygląda to tak, jakby nic nigdy nie wygasło.

Do tego dochodzi automatyczne logowanie, które Google opisuje na swoich stronach pomocy. Gdy raz wyrazi Pan zgodę na udostępnienie swojego profilu aplikacji, podczas kolejnej wizyty zostanie Pan zalogowany bez konieczności wykonywania jakiegokolwiek dotknięcia.

Cofnięcie dostępu po prostu zamyka ten proces, nic więcej

Błąd numer dwa kryje się w samym procesie czyszczenia, a strona pomocy Google dotycząca powiązanych aplikacji zawiera informację, którą łatwo przeoczyć. Jeśli odłączysz aplikację, dane, które zostały już udostępnione, mogą pozostać zapisane w tej aplikacji. Aby się ich pozbyć, musisz przejść na stronę dostawcy i usunąć je tam.

Usunięcie dostępu działa więc wyłącznie z mocą przyszłą, a Państwa lista kontaktów z 2021 roku nadal pozostaje w posiadaniu dostawcy, nawet po zniknięciu tego wpisu z Państwa konta Google. W przypadku usługi, która nadal istnieje, jest to jedynie irytujące. W przypadku usługi, która została w międzyczasie sprzedana, nie wiedzą Państwo już nawet, kto posiada jej kopię.

To, do jakich danych aplikacja ma dostęp, zależy od poziomu uprawnień, który potwierdził Pan/Pani w tamtym czasie. Google rozróżnia trzy rodzaje połączeń, a każdy z nich pozwala na zupełnie inne działania.

Od 12 sierpnia powstaje druga lista

Jak dotąd dotyczyła ona dotacji z przeszłości. Obok niej powstaje kolejna kategoria. Podczas wydarzenia „Made by Google” w Nowym Jorku 12 sierpnia 2026 r. firma Google ogłosiła wprowadzenie trzynastu kolejnych aplikacji połączonych z platformą Gemini – od transkrypcji spotkań po wizyty lekarskie – które będą wdrażane w ciągu kilku tygodni.

Własna tabela dostępności firmy Google zawiera ograniczenie, o którym nie wspomniano w ogłoszeniu. Serwisy Ticketmaster, Zocdoc, Thumbtack, Angi, Otter.ai, Granola i GetYourGuide są tam wymienione jako dostępne wyłącznie w Stanach Zjednoczonych i wyłącznie w języku angielskim. Pandora jest dostępna wyłącznie w Stanach Zjednoczonych i Portoryko, iHeartRadio obejmuje pięć krajów, Localiza – Brazylię, a OpenTable – Wielką Brytanię. Poza tymi rynkami dostępne są dwie z trzynastu aplikacji: Wix i Fever, przy czym Wix obsługuje wyłącznie język angielski.

U podstaw leży różnica w koncepcji. Klasyczny opis brzmi następująco: Połączona aplikacja wykonuje działanie. Rezerwuje termin, wpisuje treść do dokumentu, tworzy coś – w momencie, gdy poprosi Pan o to Gemini. W centrum prywatności Gemini, zaktualizowanym 10 sierpnia 2026 r., firma Google zamieściła własny zapis dotyczący połączeń dodawanych samodzielnie przez użytkownika. Google nie monitoruje ani nie zabezpiecza danych pochodzących z takich połączonych aplikacji, a ich podłączenie może narazić Państwa dane, hasła, urządzenia i konta na nieuprawniony dostęp.

Połączenia te znajdują się w innym miejscu niż stare uprawnienia. Po uporządkowaniu jednej listy drugiej w ogóle nie zauważą Państwo.

Dziesięć minut raz w roku

Dostęp do tej sekcji jest szybki — w swoim koncie Google znajdą Państwo połączenia z aplikacjami zewnętrznymi w sekcji „Bezpieczeństwo”. Każda aplikacja jest wymieniona wraz z datą udzielenia uprawnień oraz informacją o tym, do jakich danych ma dostęp. Wszystko, czego nie rozpoznają Państwo od razu, można usunąć. To samo dotyczy aplikacji, których nie otwierali Państwo od roku.

Następnie należy wykonać dwa kroki, z których żaden nie zajmuje dużo czasu. Proszę osobno sprawdzić w ustawieniach aplikacji Gemini, które z połączonych aplikacji są tam aktywne, ponieważ ta lista nie jest automatycznie czyszczona. Jeśli aplikacja rzeczywiście miała dostęp do poufnych danych, proszę usunąć swoje konto u tego dostawcy; w przeciwnym razie kopia danych pozostanie.

Ustawienie nowego hasła nadal jest właściwym posunięciem. Chroni ono Państwa dostęp i uniemożliwia dostęp osobom korzystającym z sesji na żywo przy użyciu skradzionych danych uwierzytelniających. Nie usuwa jednak danych, które Państwo sami udostępnili.