Om de accountbeveiliging voor Google-gebruikers te verbeteren, worden OAuth 2.0-tokens die zijn uitgegeven voor toegang tot bepaalde producten automatisch ingetrokken wanneer het wachtwoord van een gebruiker wordt gewijzigd. E-mailapps van derden, zoals Apple Mail en Mozilla Thunderbird, evenals andere applicaties die mailscopes gebruiken om toegang te krijgen tot de e-mail van een gebruiker, stoppen met het synchroniseren van gegevens na een wachtwoordreset totdat een nieuw OAuth 2.0-token is verstrekt. Een nieuw token wordt verstrekt wanneer de gebruiker zich opnieuw aanmeldt met zijn of haar Google-accountgebruikersnaam en -wachtwoord.
Ook e-mailapps van derden op mobiele apparaten vallen onder deze beleidswijziging. Gebruikers die bijvoorbeeld de standaard e-mailapp op iOS gebruiken, moeten zich nu opnieuw aanmelden met hun Google-accountgegevens wanneer hun wachtwoord is gewijzigd. Dit nieuwe gedrag voor e-mailapps van derden op mobiele apparaten sluit aan bij het huidige gedrag van Gmail op iOS en Android, waarbij ook opnieuw aanmelden vereist is na het resetten van het wachtwoord.
Het proces voor het intrekken van tokens is niet van toepassing op applicaties die zijn gebouwd met Apps Script, zelfs niet als het script toegang heeft tot e-mail.
Opmerkingen:
- Als de wachtwoordwijziging wordt uitgevoerd vanaf een Android-apparaat, wordt het OAuth-token voor de accountsynchronisatie die door dit Android-apparaat wordt gebruikt, niet ingetrokken.
- Gmail IMAP-sessies die zijn geverifieerd met OAuth worden niet beïnvloed door een wachtwoordwijziging, maar zijn wel beperkt tot de geldigheidsperiode van het toegangstoken (meestal 1 uur).
Vragen
Welke gevolgen heeft deze wijziging voor applicaties die een app-wachtwoord gebruiken als tweestapsverificatie is ingeschakeld?
Momenteel zijn er geen gevolgen. We zullen eventuele wijzigingen in de behandeling van app-wachtwoorden aankondigen zodra deze zich voordoen.
Wanneer worden de tokens ingetrokken, bij het verlopen van het wachtwoord of bij een wachtwoordwijziging?
De tokens worden ingetrokken bij een wachtwoordwijziging.
Worden zowel toegangstokens als vernieuwingstokens ongeldig bij een wachtwoordwijziging?
Ja, een wachtwoordwijziging maakt zowel toegangstokens als vernieuwingstokens ongeldig.
We hebben een aangepast script dat hetzelfde wachtwoord meerdere keren voor een gebruiker instelt. Zal dit leiden tot intrekking van het token?
Als dit gebeurt via de Directory API-gebruikersupdate en hetzelfde wachtwoord via dezelfde functie wordt gehasht, wordt dit niet beschouwd als een wachtwoordwijziging en zouden tokens dus niet ingetrokken moeten worden.
Let op : als u een hashfunctie gebruikt die een salt accepteert, zorg er dan voor dat u voor elke update dezelfde salt gebruikt. Dit voorkomt dat de update als een wachtwoordwijziging wordt beschouwd.
Welke invloed heeft deze wijziging op de instelling ' Minder veilige apps' ?
De instelling 'Minder veilige apps' heeft geen invloed op het intrekken van tokens bij een wachtwoordwijziging.
Google, Google Workspace en aanverwante merken en logo's zijn handelsmerken van Google LLC. Alle andere bedrijfs- en productnamen zijn handelsmerken van de bedrijven waaraan ze zijn verbonden.