Een oude OAuth-koppeling heeft nog toegang

Een OAuth-koppeling is een toestemming die je aan een app geeft, zodat die bepaalde gegevens of functies van je account kan gebruiken. Die toestemming verdwijnt niet vanzelf als niemand de app nog opent. Het risico is vooral organisatorisch: je weet niet meer wie de koppeling beheert, waarvoor ze dient en hoeveel toegang ze heeft.

De MDN-introductie over webbeveiliging noemt voor webontwikkelaars als goede praktijk om toegang tot je project te beheersen, geheimen veilig te behandelen en afhankelijkheden onder controle te houden. Dat is een algemeen principe en geen OAuth-advies; als vergelijking: een vergeten koppeling is een stuk toegang dat buiten die controle valt. Let op de grens van de bronnen: MDN is een bron voor webontwikkelaars en geen OAuth-handleiding, en de Google-hulp beschrijft koppelingen voor een Google-account. Bepaal daarom eerst welk soort account je onderzoekt: een persoonlijk account of een account dat een beheerder voor je organisatie beheert. Voor het tweede geval controleert de beheerder waar de organisatiebrede lijst staat.

De Google-hulp over gekoppelde apps onderscheidt drie soorten koppeling: inloggen met Google, een gekoppeld account (Google krijgt toegang tot je account in de app) en toegang van de app tot gegevens van je Google-account. Kijk in de lijst met gekoppelde apps van je Google-account naar elk van de drie en open per app de details. Voor toegang tot gegevens kun je filteren op toegang tot een Google-product of andere accounttoegang. Zie je meerdere koppelingen voor dezelfde app, noteer ze dan apart.

Leg per koppeling vast in een tabel of werkblad:

• appnaam en type koppeling
• welke toegang de app heeft
• doel in één zin
• eigenaar: een naam, geen team
• aanleiding, bijvoorbeeld een campagne of proef
• laatst bekende gebruik, indien je dat elders kunt vinden

Gebruiksgegevens staan niet altijd in de lijst zelf. Zoek ze in de app of in de logs van je beheeromgeving en noteer waar je ze haalde. Doe dit voor elk account dat ertoe doet, ook gedeelde en marketingaccounts.

Geef elke regel van je inventaris één van deze uitkomsten.

De termijnen kies je zelf op basis van het risico en de afhankelijkheden. Geen enkele bron schrijft ze voor.

1. Bewaar de huidige staat: een export of schermafbeelding van de lijst en je inventaris.
2. Verwittig de eigenaar en teams die van de app afhangen. Is de koppeling bekend ongewenst of misbruikt, trek ze dan meteen in en wacht niet op de volledige inventaris of een stilteperiode.
3. Kies een moment buiten kritieke processen, bijvoorbeeld buiten een lopende campagne of rapportering.
4. Trek één koppeling per keer in, zodat je oorzaak en gevolg kunt volgen.
5. Test meteen de functie die erop leunt.
6. Noteer datum, uitvoerder en uitkomst.

Weet wat elk type intrekken doet. Volgens de Google-hulp stopt het verwijderen van inloggen met Google het automatisch inloggen, maar worden je gegevens in de app niet gewist. Controleer dus of je nog op een andere manier in die app kunt. Het verwijderen van een gekoppeld account betekent dat Google geen toegang meer heeft tot je account in de app, en functies die daarop leunen werken dan niet meer. Trek je de toegang van een app tot je Google-gegevens in, dan kan die die gegevens niet meer gebruiken en kunnen functies wegvallen. Lees voor je beslist het privacybeleid van de app. Terugdraaien is mogelijk door opnieuw toestemming te geven als de app dat toelaat, maar dat is een nieuwe toestemming die je bewust opnieuw verleent. Het resultaat kan per app verschillen. Staat Gemini of een andere agent bij de app, dan ontkoppelt het stoppen van agenttoegang volgens de Google-hulp de koppeling met de app zelf niet.

Een ingetrokken koppeling bewijst niet dat alles dicht is. Loop deze punten na:

• Open de lijst opnieuw: is de koppeling weg en is er geen nieuwe bijgekomen?
• Test de functie die erop leunde en vraag de eigenaar of er iets mist.
• Kijk in de app of bij de aanbieder of er nog sleutels, tokens of andere toegangswegen bestaan die los staan van de koppeling. Eén intrekking raakt die niet automatisch.
• Heb je vermoeden van misbruik, behandel dan ook wachtwoorden en geheimen als verdacht. MDN raadt aan geheimen veilig te behandelen en voor inloggen niet alleen op wachtwoorden te vertrouwen.
• Controleer of het account sterke aanmelding heeft, en waar de beheerder dat ziet.

Plan een volgende herbeoordeling en leg die vast. Zo wordt de inventaris een gewoonte in plaats van een eenmalige opruimactie. Exacte schermen en rechten kunnen wijzigen: de accountbeheerder controleert dat in de eigen omgeving.

Invoer: drie regels uit een inventaris.

• App A: toegang tot gegevens van het account, aangemaakt door een vertrokken medewerker voor een eenmalige export.
• App B: inloggen met Google voor een planningstool, eigenaar is de marketingverantwoordelijke.
• App C: onbekende naam, geen doel, geen eigenaar.

Verwachte beslissingen en controles: App A is een kandidaat voor intrekken. Controleer eerst of de export nog nodig is en test achteraf of geen lopende taak afhangt van de koppeling. Bij App B behoud je de koppeling, noteer je de herbeoordelingsdatum en controleer je dat er een andere manier is om in te loggen als ze ooit wegvalt. Bij App C vraag je rond, markeer je ze als onder review en trek je ze in na de afgesproken stilteperiode, met noteren van wie niets meldde. Welke effecten dit heeft op werking of risico, kun je pas na je eigen controles vaststellen.

Wil je ook weten welke publieke signalen je website toont rond vertrouwen en veiligheid? Bekijk ze via Marketing Scan. Een publieke scan ziet geen accountkoppelingen en vervangt deze interne inventaris niet.