כדי לשפר את אבטחת החשבון של משתמשי Google, אסימוני OAuth 2.0 שמונפקים לצורך גישה למוצרים מסוימים מבוטלים באופן אוטומטי כשמשתמש משנה את הסיסמה שלו. באפליקציות אימייל של צד שלישי כמו Apple Mail או Mozilla Thunderbird (וגם באפליקציות אחרות שנעשה בהן שימוש בהיקפי הרשאות לאימייל כדי לגשת לאימייל של המשתמש) יופסק סנכרון הנתונים לאחר איפוס הסיסמה, עד שיתקבל טוקן OAuth 2.0 חדש. מתקבל טוקן חדש כשהמשתמש מבצע אימות מחדש באמצעות שם המשתמש של החשבון והסיסמה בחשבון Google.
שינוי המדיניות הזה חל גם על אפליקציות אימייל של צד שלישי בניידים. לדוגמה, משתמשים שמשתמשים באפליקציית הדואר המקורית ב-iOS יצטרכו עכשיו לאמת מחדש את פרטי הכניסה לחשבון Google שלהם כשהסיסמה שלהם תשתנה. ההתנהגות החדשה הזו של אפליקציות אימייל של צד שלישי בנייד תואמת להתנהגות הנוכחית של Gmail ב-iOS וב-Android, שגם בהן נדרש אימות מחדש אחרי איפוס סיסמה.
תהליך ביטול הטוקן לא כולל אפליקציות שמבוססות על Apps Script, גם אם הסקריפט ניגש לאימייל.
הערות:
- אם שינוי הסיסמה מופעל ממכשיר Android, אסימון ה-OAuth לסנכרון החשבון שמשמש את מכשיר ה-Android הזה לא מבוטל.
- שינוי סיסמה לא משפיע על סשנים של Gmail IMAP שאומתו באמצעות OAuth, אבל הם מוגבלים לתקופת התוקף של טוקן הגישה (בדרך כלל שעה).
שאלות
איך השינוי הזה משפיע על אפליקציות שמשתמשות בסיסמה לאפליקציה אם האימות הדו-שלבי מופעל?
כרגע אין השפעה. אם יהיו שינויים באופן הטיפול בסיסמאות לאפליקציות, נודיע על כך.
מתי הטוקנים מבוטלים, כשהסיסמה פגה או כשהסיסמה משתנה?
האסימונים מבוטלים כשמשנים את הסיסמה.
האם שינוי סיסמה מבטל את התוקף של טוקני גישה וגם של טוקני רענון?
כן, שינוי הסיסמה מבטל את התוקף של טוקני הגישה וגם של טוקני הרענון.
יש לנו סקריפט בהתאמה אישית שמגדיר את אותה סיסמה למשתמש כמה פעמים. האם זה יגרום לביטול הטוקן?
אם זה נעשה באמצעות עדכון משתמשים ב-Directory API, ואותה סיסמה עוברת גיבוב באמצעות אותה פונקציה, זה לא ייחשב כשינוי סיסמה, ולכן האסימונים לא אמורים להתבטל.
הערה: אם אתם משתמשים בפונקציית גיבוב (hash) שמקבלת ערך salt, הקפידו להשתמש באותו ערך salt בכל עדכון. כך העדכון לא נחשב כשינוי סיסמה.
איך השינוי הזה משפיע על ההגדרה אפליקציות ברמת אבטחה נמוכה?
ההגדרה אפליקציות ברמת אבטחה נמוכה לא תשפיע על ביטול הטוקנים אחרי שינוי הסיסמה.
Google, Google Workspace וסימנים וסמלי לוגו קשורים הם סימנים מסחריים של Google LLC. כל שמות החברות והמוצרים האחרים הם סימנים מסחריים של החברות שאליהן הם משויכים.