Sua nova senha do Google não bloqueia os aplicativos antigos

Após um susto, quase todos fazem a mesma coisa. Um e-mail parece suspeito, um login desconhecido aparece no resumo da conta, e a primeira medida é alterar a senha. Nova senha, verifique a autenticação de dois fatores e, por um momento, tudo parece estar em ordem novamente.

Com o Google, essa sensação é apenas parcialmente válida. A documentação para desenvolvedores do Google lista os motivos pelos quais um aplicativo externo perde acesso à sua conta. Um deles indica que o usuário alterou a senha e que o token de atualização contém escopos do Gmail. Esse pequeno “e” carrega todo o peso. Se o aplicativo estiver vinculado à sua caixa de entrada, ele será removido. Se estiver vinculado às suas fotos, ao seu calendário, aos seus contatos ou aos seus arquivos no Drive, ele permanecerá.

Este não é um caso isolado, pois o botão “Entrar com o Google” está presente em dezenas de milhares de aplicativos, e poucos deles realmente queriam seu e-mail. Eles queriam seu perfil, suas fotos, sua agenda. Essas são exatamente as permissões que sobrevivem intactas a uma alteração de senha.

Seis motivos, e apenas um deles é você

O Google cita seis situações nas quais uma autorização de acesso deixa de funcionar. O usuário a revoga, o token ficou sem uso por seis meses, a senha foi alterada e o Gmail está envolvido, a conta excedeu seu limite máximo de autorizações ativas, uma autorização com prazo limitado expirou ou um administrador restringiu um dos serviços.

Leia essa lista novamente, começando pelo fim. Quatro das seis situações ocorrem sem que o senhor faça nada e sem que seja informado. O caso da senha só se aplica quando o Gmail está envolvido. Isso deixa exatamente uma opção que está sob seu controle, e ela se chama “remover acesso”.

A ajuda padrão do Google para contas diz a mesma coisa em termos mais simples. Alterar sua senha faz com que você seja desconectado de todos os lugares, escreve o Google, com três exceções: dispositivos que você usa para verificar sua identidade, alguns dispositivos que executam aplicativos de terceiros aos quais você concedeu acesso à conta e dispositivos domésticos inteligentes que você vinculou.

Existe um mecanismo capaz de bloquear efetivamente o acesso externo. O Google o denomina “proteção entre contas” e o utiliza para enviar alertas de segurança aos serviços conectados, que podem então encerrar sua sessão em seus respectivos sistemas. Esse mecanismo é acionado em caso de eventos suspeitos, como uma conta invadida ou suspensa, e o provedor precisa habilitar essa função. Alterar sua senha por conta própria não se enquadra nesses eventos.

A permissão perdura além da chave

Há algo que se perde no uso diário aqui. Existe a chave técnica que um aplicativo usa para acessar sua conta e existe a permissão que o senhor concedeu em algum momento, e as duas não expiram ao mesmo tempo.

Essa chave expira quando ninguém a utiliza por seis meses, enquanto a permissão permanece. Ela fica registrada em sua conta como um registro e, quando o senhor abre o aplicativo novamente dois anos depois, simplesmente funciona, sem nenhuma tela de consentimento nova em lugar algum. Do ponto de vista do usuário, parece que nada jamais expirou.

Além disso, há o login automático, que o Google descreve em suas próprias páginas de ajuda. Depois que o senhor concorda que seu perfil pode ser compartilhado com um aplicativo, sua próxima visita faz o login sem que o senhor precise tocar em nada.

Remover o acesso encerra o processo, nada mais

O erro número dois está oculto na própria limpeza, e a página de ajuda do Google sobre aplicativos vinculados contém uma frase que é fácil de ignorar. Se o senhor desvincular um aplicativo, os dados que já foram compartilhados podem permanecer armazenados nesse aplicativo. Para se livrar deles, o senhor precisa acessar o site do próprio provedor e excluí-los por lá.

Portanto, a remoção do acesso funciona apenas prospectivamente, e sua lista de contatos de 2021 ainda permanece com o provedor, mesmo depois que o registro desaparecer da sua conta do Google. Com um serviço que ainda existe, isso é meramente incômodo. Com um que já foi vendido, você nem mesmo sabe mais quem detém a cópia.

O nível de acesso que um aplicativo pode ter depende do nível que o senhor confirmou na época. O Google distingue três tipos de conexão, e cada um permite coisas muito diferentes.

Uma segunda lista vem crescendo desde 12 de agosto

Até o momento, trata-se de subsídios concedidos no passado. Outro tipo de lista está se formando ao lado deles. No evento Made by Google, realizado em Nova York em 12 de agosto de 2026, o Google anunciou mais treze aplicativos conectados para o Gemini — desde transcrições de reuniões até consultas médicas —, com lançamento previsto ao longo de várias semanas.

A própria tabela de disponibilidade do Google acrescenta um limite que o anúncio omite. Ticketmaster, Zocdoc, Thumbtack, Angi, Otter.ai, Granola e GetYourGuide estão listados ali como disponíveis apenas nos EUA e apenas em inglês. O Pandora permanece restrito aos EUA e a Porto Rico, o iHeartRadio abrange cinco países, o Localiza é exclusivo para o Brasil e o OpenTable é exclusivo para o Reino Unido. Fora desses mercados, dois dos treze estão disponíveis: o Wix e o Fever, sendo que o Wix está disponível apenas em inglês.

Por trás disso, há uma diferença no design. Uma descrição clássica diz: Um aplicativo conectado age. Ele agenda um compromisso, insere informações em um documento, cria algo, no momento em que o usuário solicita isso ao Gemini. No centro de privacidade do Gemini, atualizado em 10 de agosto de 2026, o Google apresenta uma cláusula própria que se aplica às conexões que o próprio usuário adiciona. O Google não monitora nem protege os dados desses aplicativos conectados, e conectá-los pode expor seus dados, senhas, dispositivos e contas a acesso não autorizado.

Essas conexões estão localizadas em um local diferente das antigas autorizações. Limpe uma lista e você nunca terá visto a outra.

Dez minutos, uma vez por ano

Chegar até lá é rápido: sua conta do Google mantém as conexões de terceiros na seção “Segurança”. Cada aplicativo é listado com a data em que você concedeu permissão e o que ele pode acessar. Qualquer coisa que você não reconheça imediatamente pode ser removida. O mesmo vale para qualquer aplicativo que você não tenha aberto há um ano.

Duas etapas seguem depois disso, e nenhuma delas leva muito tempo. Verifique separadamente nas configurações do seu aplicativo Gemini quais aplicativos conectados estão ativos lá, pois essa lista não se limpa automaticamente junto com as outras. Se um aplicativo realmente teve acesso a dados confidenciais, exclua sua conta nesse provedor; caso contrário, a cópia permanecerá.

Definir uma nova senha continua sendo a medida correta. Isso protege seu acesso e bloqueia qualquer pessoa que esteja em uma sessão ativa com credenciais roubadas. No entanto, isso não limpa o que você mesmo forneceu.