Uw nieuwe Google-wachtwoord zorgt er niet voor dat de oude apps worden geblokkeerd

Na een schrikmoment doet bijna iedereen hetzelfde. Een e-mail ziet er verdacht uit, er verschijnt een onbekende aanmelding in het accountoverzicht, en de eerste stap is het wijzigen van het wachtwoord. Nieuw wachtwoord, de tweefactorauthenticatie controleren, en even voelt alles weer in orde.

Bij Google klopt dat gevoel maar voor de helft. In de documentatie voor ontwikkelaars staan de redenen vermeld waarom een externe app de toegang tot uw account verliest. Een daarvan is dat de gebruiker het wachtwoord heeft gewijzigd en het vernieuwingstoken Gmail-scopes bevat. Dat kleine „en“ maakt het verschil. Als de app gekoppeld is aan uw inbox, verdwijnt deze. Als deze gekoppeld is aan uw foto’s, uw agenda, uw contacten of uw bestanden in Drive, blijft deze bestaan.

Dit is geen uitzonderingsgeval, want de knop ‘Aanmelden met Google’ is in tienduizenden apps te vinden, en slechts enkele daarvan wilden ooit uw e-mail. Zij wilden uw profiel, uw foto’s, uw agenda. Dat zijn precies de toegangsrechten die na een wachtwoordwijziging onaangetast blijven.

Zes redenen, en slechts één daarvan heeft met u te maken

Google noemt zes situaties waarin een toegangsvergunning niet meer werkt. De gebruiker trekt deze in, het token is zes maanden niet gebruikt, het wachtwoord is gewijzigd en Gmail is hierbij betrokken, het account heeft het maximum aantal actieve vergunningen overschreden, een tijdelijke vergunning is verlopen, of een beheerder heeft een van de diensten beperkt.

Lees die lijst nog eens vanaf het einde. Vier van de zes situaties doen zich voor zonder dat u iets hoeft te doen en zonder dat u hiervan op de hoogte wordt gesteld. Het geval met het wachtwoord is alleen van toepassing wanneer Gmail in het spel is. Dat laat precies één knop over waarover u zelf beschikt, en die heet ‘toegang intrekken’.

In de algemene account-help van Google wordt hetzelfde in eenvoudigere bewoordingen uitgelegd. Als u uw wachtwoord wijzigt, wordt u overal afgemeld, schrijft Google, met drie uitzonderingen: apparaten die u gebruikt om uw identiteit te verifiëren, sommige apparaten waarop apps van derden draaien waaraan u accounttoegang hebt verleend, en slimme apparaten voor uw woning die u hebt gekoppeld.

Eén mechanisme kan externe toegang daadwerkelijk blokkeren. Google noemt dit ‘bescherming tussen accounts’ en gebruikt het om beveiligingswaarschuwingen te sturen naar gekoppelde diensten, die u vervolgens aan hun kant kunnen uitloggen. Dit mechanisme treedt in werking bij verdachte gebeurtenissen, zoals een gekaapt of opgeschort account, en de aanbieder moet zich hiervoor aanmelden. Het zelf wijzigen van uw wachtwoord behoort niet tot deze gebeurtenissen.

De toestemming blijft langer geldig dan de sleutel

Hier gaat in het dagelijks gebruik iets verloren. Er is de technische sleutel die een app gebruikt om toegang te krijgen tot uw account, en er is de toestemming die u op een bepaald moment hebt verleend, en deze twee vervallen niet tegelijkertijd.

Die sleutel verloopt zodra niemand deze zes maanden lang heeft gebruikt, terwijl de toestemming blijft bestaan. Deze staat als een vermelding in uw account, en wanneer u de app twee jaar later opnieuw opent, werkt deze gewoon, zonder dat er ergens een nieuw toestemmingsscherm verschijnt. Vanuit uw perspectief lijkt het alsof er nooit iets is verlopen.

Daarnaast is er nog het automatisch inloggen, dat Google op zijn eigen helppagina’s beschrijft. Zodra u ermee hebt ingestemd dat uw profiel met een app mag worden gedeeld, wordt u bij uw volgende bezoek zonder ook maar één tik ingelogd.

Toegang intrekken sluit de kraan, meer niet

Fout nummer twee schuilt in het opschonen zelf, en op de helppagina van Google over gekoppelde apps staat een zin die gemakkelijk over het hoofd wordt gezien. Als u de koppeling met een app verbreekt, kunnen gegevens die al waren gedeeld, in die app opgeslagen blijven. Om deze te verwijderen, moet u naar de eigen website van de aanbieder gaan en ze daar verwijderen.

Het intrekken van de toegang werkt dus alleen voor de toekomst, en uw contactenlijst uit 2021 blijft bij de aanbieder bewaard, zelfs nadat het item uit uw Google-account is verdwenen. Bij een dienst die nog steeds bestaat, is dat slechts vervelend. Bij een dienst die inmiddels is verkocht, weet u niet eens meer wie de kopie in bezit heeft.

In hoeverre een app toegang heeft, hangt af van het niveau dat u destijds hebt bevestigd. Google onderscheidt drie soorten koppelingen, die zeer uiteenlopende mogelijkheden bieden.

Sinds 12 augustus is er een tweede lijst in opkomst

Tot nu toe ging het hierbij om subsidies uit het verleden. Er ontstaat nu een andere categorie naast deze lijst. Tijdens het evenement ‘Made by Google’ in New York op 12 augustus 2026 kondigde Google dertien nieuwe Connected Apps voor Gemini aan, variërend van vergaderverslagen tot doktersafspraken, die in de loop van enkele weken zullen worden uitgerold.

De eigen beschikbaarheidstabel van Google voegt een beperking toe die in de aankondiging ontbreekt. Ticketmaster, Zocdoc, Thumbtack, Angi, Otter.ai, Granola en GetYourGuide worden daar vermeld als uitsluitend beschikbaar in de VS en uitsluitend in het Engels. Pandora blijft beperkt tot de VS en Puerto Rico, iHeartRadio is beschikbaar in vijf landen, Localiza is beperkt tot Brazilië en OpenTable is beschikbaar in het Verenigd Koninkrijk. Buiten deze markten zijn twee van de dertien apps beschikbaar, namelijk Wix en Fever, waarbij Wix uitsluitend in het Engels werkt.

Daarachter schuilt een verschil in ontwerp. Een klassieke beschrijving luidt als volgt. Een gekoppelde app onderneemt actie. Deze boekt een afspraak, schrijft in een document, creëert iets, op het moment dat u Gemini hierom vraagt. In het Gemini-privacycentrum, bijgewerkt op 10 augustus 2026, vermeldt Google een eigen bepaling die van toepassing is op koppelingen die u zelf toevoegt. Google controleert noch beveiligt de gegevens van dergelijke gekoppelde apps, en het koppelen ervan kan uw gegevens, wachtwoorden, apparaten en accounts blootstellen aan ongeoorloofde toegang.

Deze koppelingen bevinden zich op een andere plaats dan de oude machtigingen. Als u de ene lijst opschoont, hebt u de andere nooit gezien.

Tien minuten, één keer per jaar

U bent er snel: in uw Google-account vindt u de verbindingen met derden onder ‘Beveiliging’. Elke app wordt vermeld met de datum waarop u toestemming hebt verleend en de gegevens waartoe deze toegang heeft. Alles wat u niet meteen herkent, kunt u verwijderen. Hetzelfde geldt voor alles wat u al een jaar niet meer hebt geopend.

Daarna volgen nog twee stappen, die beide niet lang duren. Controleer apart in de instellingen van uw Gemini-app welke gekoppelde apps daar actief zijn, want die lijst wordt niet automatisch mee opgeschoond. Als een app daadwerkelijk toegang heeft gehad tot gevoelige gegevens, verwijder dan uw account bij die aanbieder; anders blijft de kopie bestaan.

Het instellen van een nieuw wachtwoord blijft de juiste stap. Dit beschermt uw toegang en verwijdert iedereen die zich in een actieve sessie bevindt met gestolen inloggegevens. Het ruimt echter niet op wat u zelf hebt vrijgegeven.