Aby zwiększyć bezpieczeństwo kont użytkowników Google, tokeny OAuth 2.0 wydane na potrzeby dostępu do określonych usług są automatycznie odwoływane w przypadku zmiany hasła użytkownika. Aplikacje pocztowe innych firm, na przykład Apple Mail czy Mozilla Thunderbird (a także inne aplikacje, które uzyskują dostęp do e-maili użytkownika za pomocą zakresów poczty), przestaną synchronizować dane po zresetowaniu hasła. Synchronizacja zostanie wznowiona po przyznaniu nowego tokena OAuth 2.0. Nowy token zostanie przyznany, gdy użytkownik ponownie uwierzytelni się na koncie Google, podając nazwę użytkownika i hasło.
Ta zmiana zasad obejmuje też mobilne aplikacje pocztowe innych firm. Jeśli na przykład użytkownicy korzystają z natywnej aplikacji pocztowej na iOS, po zmianie hasła będą musieli ponownie uwierzytelnić się za pomocą danych logowania do konta Google. To nowe zachowanie w przypadku aplikacji pocztowych innych firm na urządzeniach mobilnych jest zgodne z obecnym zachowaniem Gmaila na iOS i Androidzie, które również wymagają ponownego uwierzytelnienia po zresetowaniu hasła.
Proces odwoływania tokenów nie obejmuje aplikacji utworzonych za pomocą Apps Script, nawet jeśli skrypt uzyskuje dostęp do poczty.
Uwagi:
- Jeśli zmiana hasła zostanie zainicjowana na urządzeniu z Androidem, token OAuth używany przez to urządzenie do synchronizacji konta nie zostanie odwołany.
- Sesje IMAP Gmaila uwierzytelnione za pomocą OAuth nie są objęte zmianą hasła, ale są ograniczone do okresu ważności tokena dostępu (zwykle 1 godziny).
Pytania
W jaki sposób ta zmiana wpływa na aplikacje używające hasła aplikacji, gdy jest włączona weryfikacja dwuetapowa?
Obecnie ta zmiana nie ma żadnego wpływu. W przypadku zmian w sposobie obsługi haseł aplikacji opublikujemy odpowiednie informacje.
Kiedy tokeny są odwoływane – po wygaśnięciu, czy po zmianie hasła?
Tokeny są odwoływane po zmianie hasła.
Czy zmiana hasła powoduje unieważnienie tokenów dostępu oraz tokenów odświeżania?
Tak. Zmiana hasła powoduje unieważnienie zarówno tokenów dostępu, jak i tokenów odświeżania.
Mamy własny skrypt, który wielokrotnie ustawia to samo hasło dla użytkownika. Czy spowoduje to odwołanie tokenu?
Jeśli ta operacja jest realizowana przy użyciu mechanizmu aktualizacji użytkowników interfejsu Directory API i to samo hasło jest zaszyfrowane za pomocą tej samej funkcji, nie traktujemy jej jako zmiany hasła, dlatego tokeny nie powinny zostać odwołane.
Uwaga: jeśli używasz funkcji mieszającej, która akceptuje sól, pamiętaj, aby używać tej samej soli przy każdej aktualizacji. Dzięki temu aktualizacja nie będzie traktowana jak zmiana hasła.
W jaki sposób ta zmiana wpływa na ustawienie Mniej bezpieczne aplikacje?
Ustawienie Mniej bezpieczne aplikacje nie ma wpływu na tokeny odwoływane po zmianie hasła.
Google, Google Workspace oraz powiązane znaki i logotypy są znakami towarowymi firmy Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.