La Sua nuova password di Google non blocca l’accesso alle vecchie app

Dopo un momento di allarme, quasi tutti reagiscono allo stesso modo. Un’e-mail sembra sospetta, nella panoramica dell’account compare un accesso sconosciuto e la prima mossa è quella di cambiare la password. Nuova password, verifica del secondo fattore di autenticazione e, per un attimo, la situazione sembra tornare alla normalità.

Con Google, quella sensazione regge solo a metà. La sua documentazione per gli sviluppatori elenca i motivi per cui un’app esterna perde l’accesso al Suo account. Uno di questi indica che l’utente ha modificato la password e che il token di aggiornamento contiene ambiti relativi a Gmail. Quella piccola «e» fa la differenza. Se l’app è collegata alla Sua posta in arrivo, viene disattivata. Se è collegata alle Sue foto, al Suo calendario, ai Suoi contatti o ai Suoi file su Drive, rimane attiva.

Non si tratta di un caso marginale, poiché il pulsante «Accedi con Google» è presente in decine di migliaia di app, e poche di esse hanno mai voluto la vostra posta elettronica. Volevano il vostro profilo, le vostre foto, il vostro calendario. Queste sono esattamente le autorizzazioni che rimangono inalterate dopo una modifica della password.

Sei motivi, e solo uno di essi riguarda l’utente

Google elenca sei situazioni in cui un’autorizzazione di accesso smette di funzionare: l’utente la revoca, il token è rimasto inutilizzato per sei mesi, la password è stata modificata e Gmail è coinvolto, l’account ha superato il limite massimo di autorizzazioni attive, un’autorizzazione a tempo determinato è scaduta oppure un amministratore ha limitato uno dei servizi.

Rilegga quell’elenco partendo dalla fine. Quattro delle sei situazioni si verificano senza che l’utente faccia nulla e senza che ne venga informato. Il caso della password si verifica solo quando è coinvolto Gmail. Ciò lascia esattamente una leva di cui l’utente stesso dispone, e si chiama «rimuovi accesso».

La guida standard di Google per gli account afferma la stessa cosa in termini più semplici. La modifica della password comporta la disconnessione da tutte le sessioni, scrive Google, con tre eccezioni: i dispositivi utilizzati per verificare la propria identità, alcuni dispositivi su cui sono in esecuzione app di terze parti a cui è stato concesso l’accesso all’account e i dispositivi per la casa intelligente che sono stati collegati.

Esiste un meccanismo in grado di bloccare effettivamente l’accesso esterno. Google lo definisce «protezione tra account» e lo utilizza per inviare avvisi di sicurezza ai servizi collegati, che possono quindi disconnetterLa dal proprio lato. Si attiva in caso di eventi sospetti, quali un account compromesso o sospeso, e il fornitore deve averne attivato l’opzione. La modifica della password da parte dell’utente non rientra tra tali eventi.

L’autorizzazione ha una durata superiore a quella della chiave

In questo contesto, nell’uso quotidiano, qualcosa va perso. Esiste la chiave tecnica che un’app utilizza per accedere al Suo account ed esiste l’autorizzazione che Lei ha concesso in un determinato momento; le due cose non scadono contemporaneamente.

Tale chiave scade quando nessuno la utilizza per sei mesi, mentre l’autorizzazione rimane valida. Rimane nel Suo account come voce registrata e, quando riapre l’app due anni dopo, funziona semplicemente, senza che compaia alcuna nuova schermata di consenso. Dal Suo punto di vista, sembra che nulla sia mai scaduto.

A ciò si aggiunge l’accesso automatico, descritto da Google nelle proprie pagine di assistenza. Una volta acconsentito alla condivisione del proprio profilo con un’app, alla visita successiva si accede senza bisogno di alcun tocco.

La revoca dell’accesso interrompe il collegamento, nient’altro

L’errore numero due si nasconde proprio nella procedura di pulizia stessa, e la pagina di assistenza di Google sulle app collegate contiene una frase che è facile trascurare. Se si scollega un’app, i dati già condivisi potrebbero rimanere memorizzati in quell’app. Per eliminarli è necessario recarsi sul sito del fornitore stesso ed eliminarli da lì.

Pertanto, la revoca dell’accesso ha effetto solo in avanti, e la Sua rubrica del 2021 rimane presso il fornitore anche dopo che la voce è scomparsa dal Suo account Google. Nel caso di un servizio ancora attivo, ciò è semplicemente fastidioso. Nel caso di un servizio che nel frattempo è stato ceduto, non saprà nemmeno più chi ne detiene la copia.

La portata dell’accesso concessa a un’app dipende dal livello che avete confermato all’epoca. Google distingue tre tipi di connessione, che consentono livelli di accesso molto diversi tra loro.

Dal 12 agosto si sta ampliando un secondo elenco

Finora si è trattato di sovvenzioni concesse in passato. Accanto a queste se ne sta formando un altro tipo. In occasione dell’evento «Made by Google» tenutosi a New York il 12 agosto 2026, Google ha annunciato altre tredici app connesse per Gemini, che spaziano dai verbali delle riunioni agli appuntamenti medici, il cui lancio avverrà nell’arco di diverse settimane.

La tabella di disponibilità fornita da Google stessa aggiunge un limite che l’annuncio tralascia. Ticketmaster, Zocdoc, Thumbtack, Angi, Otter.ai, Granola e GetYourGuide vi sono elencate come disponibili solo negli Stati Uniti e solo in lingua inglese. Pandora rimane disponibile solo negli Stati Uniti e a Porto Rico, iHeartRadio copre cinque paesi, Localiza è disponibile in Brasile e OpenTable nel Regno Unito. Al di fuori di questi mercati, due delle tredici app sono accessibili, Wix e Fever, ma Wix è disponibile solo in inglese.

Alla base di tutto ciò vi è una differenza di progettazione. Una classica descrizione recita: Un’app collegata agisce. Prenota un appuntamento, scrive in un documento, crea qualcosa, nel momento stesso in cui lo richiedete a Gemini. Nell’hub sulla privacy di Gemini, aggiornato al 10 agosto 2026, Google riporta una propria dicitura che si applica alle connessioni aggiunte dall’utente. Google non monitora né protegge i dati provenienti da tali app collegate, e il loro collegamento potrebbe esporre i vostri dati, le vostre password, i vostri dispositivi e i vostri account ad accessi non autorizzati.

Queste connessioni si trovano in una sezione diversa rispetto alle vecchie autorizzazioni. Se si ripulisce un elenco, non si vedrà mai l’altro.

Dieci minuti, una volta all’anno

Raggiungere questa sezione è rapido: il Suo account Google conserva le connessioni di terze parti nella sezione “Sicurezza”. Ogni app è elencata con la data in cui le ha concesso l’autorizzazione e le informazioni a cui può accedere. Tutto ciò che non riconosce immediatamente può essere eliminato. Lo stesso vale per qualsiasi app che non ha aperto da un anno.

A questo punto seguono due passaggi, nessuno dei quali richiede molto tempo. Verifichi separatamente nelle impostazioni della Sua app Gemini quali «App collegate» siano attive lì, poiché quell’elenco non viene ripulito automaticamente. Se un’app ha effettivamente avuto accesso a dati sensibili, elimini il Suo account presso quel fornitore; in caso contrario, la copia rimarrà.

Impostare una nuova password rimane comunque la mossa giusta. Protegge il vostro accesso e blocca chiunque stia utilizzando le credenziali rubate in una sessione attiva. Semplicemente, non cancella ciò che avete fornito voi stessi.