Um die Kontosicherheit für Google-Nutzer zu erhöhen, werden OAuth 2.0-Tokens, die für den Zugriff auf bestimmte Produkte ausgestellt wurden, automatisch widerrufen, wenn das Passwort eines Nutzers geändert wird. E-Mail-Apps von Drittanbietern wie Apple Mail und Mozilla Thunderbird sowie andere Anwendungen, die E-Mail-Bereiche für den Zugriff auf die E-Mails eines Nutzers verwenden, synchronisieren nach dem Zurücksetzen des Passworts keine Daten mehr, bis ein neues OAuth 2.0-Token gewährt wurde. Ein neues Token wird gewährt, wenn sich der Nutzer noch einmal mit dem Nutzernamen und dem Passwort seines Google-Kontos authentifiziert.
Diese Richtlinienänderung betrifft auch E-Mail-Apps von Drittanbietern auf Mobilgeräten. Nutzer, die die native E-Mail-Anwendung unter iOS verwenden, müssen sich beispielsweise nach einer Passwortänderung noch einmal mit ihren Google-Kontoanmeldedaten authentifizieren. Dieses neue Verhalten für E-Mail-Apps von Drittanbietern auf Mobilgeräten entspricht dem aktuellen Verhalten von Gmail unter iOS und Android, wo nach dem Zurücksetzen des Passworts ebenfalls eine erneute Authentifizierung erforderlich ist.
Der Token-Widerrufsprozess umfasst keine Anwendungen, die auf Apps Script basieren, auch wenn das Script auf E-Mails zugreift.
Hinweise:
- Wenn die Passwortänderung von einem Android-Gerät ausgelöst wird, wird das OAuth-Token für die Kontosynchronisierung, die von diesem Android-Gerät verwendet wird, nicht widerrufen.
- Gmail-IMAP-Sitzungen, die mit OAuth authentifiziert wurden, sind von einer Passwortänderung nicht betroffen, aber auf die Gültigkeitsdauer des Zugriffstokens (normalerweise 1 Stunde) beschränkt.
Fragen
Wie wirkt sich diese Änderung auf Anwendungen mit einem App-Passwort aus, wenn die Bestätigung in zwei Schritten aktiviert ist?
Zurzeit gibt es keine Auswirkungen. Sobald Änderungen im Hinblick auf App-Passwörter auftreten, werden wir sie bekanntgeben.
Wann werden die Tokens widerrufen? Beim Ablauf oder bei der Änderung des Passworts?
Die Tokens werden bei der Änderung des Passworts widerrufen.
Werden durch eine Passwortänderung Zugriffstokens und Aktualisierungstokens ungültig?
Ja, durch die Passwortänderung werden sowohl Zugriffstokens als auch Aktualisierungstokens ungültig.
Wir haben ein benutzerdefiniertes Skript, durch das dasselbe Passwort mehrmals für einen Nutzer festgelegt wird. Wird dadurch ein Widerruf des Tokens ausgelöst?
Wenn dies über die Nutzeraktualisierung der Directory API ausgeführt wird und das gleiche Passwort über die gleiche Funktion mit einem Hash versehen wird, wird dies nicht als Passwortänderung angesehen und diese Tokens sollten nicht widerrufen werden.
Hinweis: Wenn Sie eine Hash-Funktion verwenden, die einen Salt akzeptiert, müssen Sie für jede Aktualisierung denselben Salt verwenden. So vermeiden Sie, dass die Aktualisierung als Passwortänderung eingestuft wird.
Wie wirkt sich die Änderung auf die Einstellung Weniger sichere Apps aus?
Die Einstellung Weniger sichere Apps hat keine Auswirkungen auf Tokens, die nach einer Passwortänderung widerrufen werden.
Google, Google Workspace und zugehörige Warenzeichen und Logos sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen sind Marken der jeweiligen Unternehmen.