Ditt nya Google-lösenord spärrar inte de gamla apparna

Efter en skrämselhändelse gör nästan alla samma sak. Ett e-postmeddelande verkar misstänkt, en okänd inloggning dyker upp i kontoöversikten, och det första man gör är att byta lösenord. Nytt lösenord, kontrollera tvåfaktorsautentiseringen, och för ett ögonblick känns allt lugnt igen.

Med Google håller den känslan bara till hälften. I deras utvecklardokumentation listas orsakerna till att en extern app förlorar åtkomsten till ditt konto. En av dem är att användaren har bytt lösenord och att uppdateringstokenet innehåller Gmail-behörigheter. Det lilla ”och” bär hela tyngden. Om appen är kopplad till din inkorg försvinner den. Om den är kopplad till dina foton, din kalender, dina kontakter eller dina filer i Drive, så stannar den kvar.

Detta är inget sällsynt fall, eftersom knappen ”Logga in med Google” finns i tiotusentals appar, och få av dem har någonsin velat ha tillgång till din e-post. De ville ha din profil, dina foton, din kalender. Det är just dessa behörigheter som förblir oförändrade vid ett lösenordsbyte.

Sex skäl, och bara ett av dem handlar om dig

Google nämner sex situationer där en åtkomstbehörighet slutar fungera. Användaren återkallar den, token har inte använts på sex månader, lösenordet har ändrats och Gmail är inblandat, kontot har överskridit taket för aktiva behörigheter, en tidsbegränsad behörighet har löpt ut eller en administratör har begränsat en av tjänsterna.

Läs den listan igen baklänges. Fyra av de sex händer utan att du gör något och utan att du får veta det. Det där med lösenordet gäller bara när Gmail är inblandat. Då återstår exakt en spak som du själv har kontroll över, och den kallas ”ta bort åtkomst”.

Googles vanliga kontohjälp säger samma sak med enklare ord. När du byter lösenord loggas du ut överallt, skriver Google, med tre undantag. Enheter som du använder för att verifiera din identitet, vissa enheter som kör appar från tredje part som du har beviljat kontoåtkomst till, och smarta hem-enheter som du har kopplat samman.

En mekanism kan verkligen blockera åtkomst utifrån. Google kallar den ”skydd över flera konton” och använder den för att skicka säkerhetsvarningar till anslutna tjänster, som sedan kan logga ut dig på sin sida. Den aktiveras vid misstänkta händelser, såsom ett kapad eller avstängt konto, och leverantören måste aktivera funktionen. Att byta lösenord själv är inte en sådan händelse.

Behörigheten gäller längre än nyckeln

Något går förlorat i den dagliga användningen här. Det finns den tekniska nyckeln som en app använder för att nå ditt konto, och det finns den behörighet som du beviljade vid ett visst tillfälle, och de två upphör inte samtidigt.

Nyckeln upphör att gälla när ingen har använt den på sex månader, medan behörigheten kvarstår. Den finns kvar i ditt konto som en post, och när du öppnar appen igen två år senare fungerar den helt enkelt, utan någon ny skärm för samtycke någonstans. Ur ditt perspektiv ser det ut som om ingenting någonsin har upphört att gälla.

Utöver detta finns automatisk inloggning, vilket Google beskriver på sina egna hjälpsidor. När du väl har godkänt att din profil får delas med en app loggas du in vid nästa besök utan ett enda tryck.

Att ta bort åtkomsten stänger kranen, inget mer

Misstag nummer två gömmer sig i själva rensningen, och Googles hjälpsida om länkade appar innehåller en rad som är lätt att förbise. Om du avlänkar en app kan data som redan har delats fortfarande finnas lagrad i den appen. För att bli av med den måste du gå till leverantörens egen webbplats och ta bort den där.

Att ta bort åtkomsten fungerar alltså bara framåt i tiden, och din kontaktlista från 2021 finns fortfarande kvar hos leverantören även efter att posten har försvunnit från ditt Google-konto. Med en tjänst som fortfarande finns kvar är det bara irriterande. Med en tjänst som sedan dess har sålts vet du inte ens längre vem som har kopian.

Hur mycket en app får tillgång till beror på den behörighetsnivå du godkände då. Google skiljer på tre typer av anslutningar, och de medger väldigt olika saker.

En andra lista har vuxit fram sedan den 12 augusti

Hittills har det handlat om bidrag från det förflutna. En annan typ håller på att bildas bredvid dem. Vid Made by Google i New York den 12 augusti 2026 tillkännagav Google ytterligare tretton Connected Apps för Gemini, från mötesprotokoll till läkartider, som kommer att lanseras under flera veckor.

Googles egen tillgänglighetstabell anger en begränsning som inte nämns i tillkännagivandet. Ticketmaster, Zocdoc, Thumbtack, Angi, Otter.ai, Granola och GetYourGuide anges där som endast tillgängliga i USA och endast på engelska. Pandora finns endast i USA och Puerto Rico, iHeartRadio täcker fem länder, Localiza finns i Brasilien och OpenTable i Storbritannien. Utanför dessa marknader är två av de tretton tillgängliga, Wix och Fever, och Wix fungerar endast på engelska.

Bakom detta ligger en skillnad i utformningen. En klassisk beskrivning lyder: En ansluten app agerar. Den bokar en tid, skriver i ett dokument, skapar något – i samma ögonblick som du ber Gemini om det. I Gemini-sekretesscentret, uppdaterat den 10 augusti 2026, har Google en egen text som gäller anslutningar som du själv lägger till. Google varken övervakar eller skyddar data från sådana anslutna appar, och att ansluta dem kan utsätta dina data, lösenord, enheter och konton för obehörig åtkomst.

Dessa anslutningar finns någon annanstans än de gamla villkoren. Rensa upp i den ena listan och du har aldrig sett den andra.

Tio minuter, en gång om året

Det går snabbt att komma dit – ditt Google-konto innehåller anslutningarna till tredjepartsappar under ”Säkerhet”. Varje app listas med det datum du beviljade åtkomst och vad den har tillgång till. Allt du inte känner igen direkt kan tas bort. Det samma gäller allt du inte har öppnat på ett år.

Därefter återstår två steg, och inget av dem tar lång tid. Kontrollera separat i inställningarna för din Gemini-app vilka anslutna appar som är aktiva där, eftersom den listan inte rensas automatiskt samtidigt. Om en app verkligen har haft tillgång till känslig information ska du radera ditt konto hos den leverantören, annars finns kopian kvar.

Att ställa in ett nytt lösenord är fortfarande det rätta att göra. Det skyddar din åtkomst och stänger ute alla som sitter i en aktiv session med stulna inloggningsuppgifter. Det rensar bara inte bort det du själv har lämnat ut.