Aby zwiększyć bezpieczeństwo kont użytkowników Google, tokeny OAuth 2.0 wydane na potrzeby dostępu do określonych usług są automatycznie odwoływane w przypadku zmiany hasła użytkownika. Aplikacje pocztowe innych firm, na przykład Apple Mail czy Mozilla Thunderbird (a także inne aplikacje, które uzyskują dostęp do e-maili użytkownika za pomocą zakresów poczty), przestaną synchronizować dane po zresetowaniu hasła. Synchronizacja zostanie wznowiona po przyznaniu nowego tokena OAuth 2.0. Nowy token zostanie przyznany, gdy użytkownik ponownie uwierzytelni się, podając nazwę użytkownika i hasło do konta Google.
Zmiana zasad obejmuje też aplikacje poczty innych firm na urządzeniach mobilnych. Na przykład użytkownicy, którzy korzystają z natywnej aplikacji poczty na iOS, będą musieli ponownie uwierzytelnić się za pomocą danych logowania do konta Google, gdy zmienią hasło. Nowe działanie aplikacji poczty innych firm na urządzeniach mobilnych jest zgodne z obecnym działaniem Gmaila na iOS i Androidzie, które również wymagają ponownego uwierzytelnienia po zresetowaniu hasła.
Proces unieważniania tokena nie obejmuje aplikacji utworzonych w Apps Script, nawet jeśli skrypt ma dostęp do poczty.
Uwagi:
- Jeśli zmiana hasła zostanie zainicjowana na urządzeniu z Androidem, token OAuth używany przez to urządzenie do synchronizacji konta nie zostanie unieważniony.
- Zmiana hasła nie ma wpływu na sesje IMAP w Gmailu uwierzytelniane za pomocą OAuth, ale są one ograniczone do okresu ważności tokena dostępu (zwykle 1 godzina).
Pytania
Jak ta zmiana wpłynie na aplikacje korzystające z hasła do aplikacji, jeśli weryfikacja dwuetapowa jest włączona?
Obecnie nie ma to żadnego wpływu. O wszelkich zmianach w traktowaniu haseł do aplikacji będziemy informować na bieżąco.
Kiedy tokeny są unieważniane: po wygaśnięciu hasła czy po jego zmianie?
Tokeny są unieważniane po zmianie hasła.
Czy zmiana hasła unieważnia tokeny dostępu i tokeny odświeżania?
Tak, zmiana hasła unieważnia zarówno tokeny dostępu, jak i tokeny odświeżania.
Mamy niestandardowy skrypt, który wielokrotnie ustawia to samo hasło dla użytkownika. Czy spowoduje to odwołanie tokena?
Jeśli ta czynność zostanie wykonana za pomocą aktualizacji użytkowników w interfejsie Directory API, a to samo hasło zostanie zaszyfrowane przy użyciu tej samej funkcji, nie będzie to traktowane jako zmiana hasła, więc tokeny nie powinny zostać unieważnione.
Uwaga: jeśli używasz funkcji haszującej, która akceptuje sól, pamiętaj, aby używać tej samej soli przy każdej aktualizacji. Dzięki temu aktualizacja nie będzie traktowana jako zmiana hasła.
Jak ta zmiana wpływa na ustawienie Mniej bezpieczne aplikacje?
Ustawienie Mniej bezpieczne aplikacje nie będzie mieć wpływu na odwoływanie tokenów po zmianie hasła.
Google, Google Workspace i inne powiązane nazwy są znakami towarowymi Google LLC. Wszystkie inne nazwy firm i produktów są znakami towarowymi należącymi do ich właścicieli.