Comment vérifier et révoquer l'accès des applications tierces à Gmail

Google permet à certaines applications tierces d’accéder à vos e-mails via des permissions larges. Vérifiez dès maintenant les applications autorisées depuis la page «Mon compte», recherchez «Gmail», puis supprimez l’accès aux services non fiables. Ce guide explique les étapes, les risques et des actions concrètes pour les utilisateurs et les administrateurs.

Contexte

Un rapport récent du Wall Street Journal a montré que les permissions ambiguës de Gmail peuvent laisser vos e-mails personnels exposés. La plateforme de Google autorise des développeurs tiers à lire une grande partie de votre compte, y compris le contenu complet des messages dans certains cas.

Définition rapide : OAuth — mécanisme d’autorisation qui permet aux applications d’accéder à des données sans partager votre mot de passe. Ici, le problème vient des permissions demandées par ces applications.

Étapes rapides pour vérifier et révoquer l’accès

1. Ouvrez https://myaccount.google.com et connectez-vous avec votre compte Google.
2. Dans la page d’accueil, trouvez la section «Sécurité» puis «Applications tierces ayant accès au compte» ou cherchez directement «Gmail» avec Ctrl+F / Cmd+F.
3. Parcourez la liste des applications. Sous chaque entrée, une étiquette indique si l’application «a accès à Gmail».
4. Si une application a accès à Gmail et que vous ne la reconnaissez pas ou ne lui faites pas confiance, cliquez sur «Supprimer l’accès» pour couper entièrement l’accès de cette application à votre compte.

Important : il n’existe actuellement pas d’option permettant de retirer uniquement l’accès à Gmail tout en conservant d’autres autorisations pour la même application. La suppression est binaire : présence ou absence complète d’accès.

Ce que signifie «Has access to Gmail»

Lorsque l’étiquette indique que l’application «a accès à Gmail», elle peut lire le contenu des messages, selon le niveau de consentement accordé lors de l’authentification OAuth. Cela inclut souvent : objets des messages, corps, pièces jointes et métadonnées. En pratique, la portée exacte dépend des permissions demandées par l’application.

Mini-méthodologie : comment auditer proprement vos accès (5 étapes)

1. Faites l’inventaire : listez toutes les applications autorisées depuis le panneau Sécurité de votre compte Google.
2. Classez par confiance : personnel, professionnel, inconnu.
3. Vérifiez les permissions : pour chaque application inconnue, ouvrez sa page de permission et notez la portée (lecture seule, lecture/écriture, accès complet à Gmail).
4. Supprimez immédiatement ce qui est inconnu ou inutile en cliquant sur «Supprimer l’accès».
5. Changez votre mot de passe et activez la validation en deux étapes si vous suspectez un abus.

Checklist rapide pour les utilisateurs

• Accéder à myaccount.google.com
• Rechercher «Gmail» dans la liste des apps tierces
• Supprimer l’accès pour les apps inconnues
• Activer l’authentification à deux facteurs
• Modifier le mot de passe si activité suspecte

Checklist pour les administrateurs IT

• Inventaire centralisé des applications OAuth autorisées pour le domaine.
• Bloquer les applications non approuvées via la console d’administration Google Workspace.
• Déployer une communication aux utilisateurs expliquant comment vérifier les permissions.
• Mettre en place des règles d’audit et des alertes pour les nouveaux consentements d’applications.

Risques et atténuations

• Risque élevé : une application malveillante lit les pièces jointes sensibles. Atténuation : révoquer l’accès, signaler l’application et exiger une revue de sécurité.
• Risque moyen : fuite de métadonnées (expéditeur, destinataire, objet). Atténuation : limiter les intégrations, chiffrer les pièces jointes sensibles.
• Risque faible : accès en lecture seule utilisé de manière innocente. Atténuation : revoir périodiquement la liste et supprimer ce qui est redondant.

Quand la révocation peut échouer

• L’application garde des copies locales de vos e-mails si elle les a déjà téléchargés. Révocation empêche l’accès futur mais ne supprime pas les données déjà copiées.
• Les autorisations liées à des comptes professionnels gérés par l’entreprise peuvent nécessiter une action de l’administrateur.

Alternatives et approches complémentaires

• Vérifier les jetons OAuth et les sessions actives depuis la page Sécurité de Google.
• Utiliser des outils d’analyse de sécurité tiers pour cartographier les accès OAuth sur plusieurs comptes.
• Auditer les journaux d’accès si vous êtes administrateur Google Workspace.

Notes de conformité et confidentialité

• RGPD / CNIL : en tant que propriétaire des données, vous avez le droit d’exiger la suppression ou l’export des données détenues par un tiers. Contactez le développeur de l’application si vous pensez que vos données ont été copiées.
• Conservation des preuves : conservez des captures d’écran et des horodatages si vous signalez un abus.

Critères de vérification

• L’application n’apparaît plus dans la liste des applications autorisées.
• Aucune activité suspecte n’est observée dans la boîte d’envoi et les paramètres de sécurité.
• Si des données sensibles ont pu être exposées, confirmée suppression auprès du développeur ou changement des identifiants affectés.

Conclusion et actions recommandées

La gestion des permissions OAuth est un point de friction pour la sécurité des comptes Gmail. Prenez 5 minutes aujourd’hui pour vérifier les applications autorisées et supprimez celles que vous ne reconnaissez pas. Si vous administrez un domaine, implémentez des politiques d’approbation et des audits réguliers.

Résumé

• Vérifiez myaccount.google.com et recherchez «Gmail».
• Supprimez les applications non fiables (action binaire : supprimer tout l’accès).
• Activez l’authentification à deux facteurs et revoyez les politiques en entreprise.

Important

La suppression empêche l’accès futur, mais ne garantit pas la suppression des copies déjà exportées par l’application. Contactez le développeur pour demander la suppression de vos données si nécessaire.