Cómo revocar el acceso de una extensión de Chrome a tu cuenta de Google aunque ya la hayas desinstalado

Eliminar una extensión sospechosa de Chrome es una buena primera medida, pero puede no ser suficiente si durante su instalación o uso autorizaste también el acceso a tu cuenta de Google. Los permisos del navegador y las autorizaciones OAuth de la cuenta son mecanismos diferentes.

Una extensión puede desaparecer completamente de Chrome y, aun así, el servicio o aplicación asociado seguir figurando entre las conexiones autorizadas de tu cuenta de Google. Si quieres cortar ese acceso, debes revisarlo y revocarlo por separado desde la configuración de la cuenta.

Desinstalar una extensión y revocar OAuth no son lo mismo

Cuando eliminas una extensión desde Chrome, el navegador deja de ejecutar ese complemento y retira los permisos propios de la extensión, como la capacidad de leer determinadas páginas, modificar sitios o cambiar algunos ajustes del navegador.

Pero algunas extensiones utilizan además OAuth para pedir acceso a servicios de Google. Es el sistema que muestra una pantalla de consentimiento donde una aplicación solicita permiso para consultar o administrar información de Gmail, Drive, Calendar, Photos, Contacts u otros productos.

Esa autorización está vinculada a tu cuenta de Google y no únicamente a la instalación local de Chrome. Por eso conviene revisarla aunque la extensión ya no aparezca en el navegador.

Qué es un permiso OAuth

OAuth permite que una aplicación acceda a una parte concreta de una cuenta sin necesidad de conocer su contraseña.

Por ejemplo, una extensión podría pedir permiso para:

• Consultar tu dirección de correo y datos básicos del perfil.
• Ver o copiar archivos de Google Drive.
• Consultar Google Calendar.
• Acceder a determinados datos de Google Photos.
• Leer tus contactos.
• Crear, modificar o eliminar información dentro de un producto de Google si has autorizado ese nivel de acceso.

Google señala que las aplicaciones vinculadas solo deberían poder acceder a los datos incluidos en los permisos que el usuario haya aceptado. Eso no significa, sin embargo, que todos los permisos tengan el mismo nivel de riesgo.

Cómo comprobar qué aplicaciones tienen acceso a tu cuenta de Google

Google mantiene una sección específica para revisar las conexiones con aplicaciones y servicios de terceros.

1. Abre tu Cuenta de Google.
2. Busca el apartado de Seguridad o las opciones relacionadas con aplicaciones y servicios de terceros.
3. Entra en Conexiones con aplicaciones y servicios de terceros.
4. Busca el apartado que muestra las aplicaciones con acceso a tu cuenta de Google.
5. Selecciona la aplicación o extensión que quieras revisar.
6. Abre los detalles para comprobar exactamente qué permisos conserva.

Si utilizas varias cuentas de Google, comprueba cada una por separado. Una extensión puede haber sido autorizada solamente en una de ellas.

Cómo revocar el acceso de una extensión ya eliminada

Si encuentras en la lista una extensión, aplicación o servicio que ya no utilizas o que no reconoces, puedes retirar su acceso desde la propia página de conexiones.

1. Selecciona la aplicación correspondiente.
2. Abre Ver detalles o la opción equivalente.
3. Revisa los permisos concedidos.
4. Pulsa Eliminar acceso.
5. Confirma la operación.

Google indica que, después de revocar el acceso, la aplicación ya no podrá continuar accediendo a los datos de tu cuenta mediante esa autorización.

Si vuelves a instalar la extensión o utilizar el servicio más adelante, es posible que vuelva a solicitar los permisos mediante una nueva pantalla de consentimiento.

Comprueba también «Iniciar sesión con Google»

No todas las conexiones de terceros son iguales. Una aplicación puede aparecer porque tiene acceso a determinados datos de tu cuenta, porque utilizas Iniciar sesión con Google para acceder al servicio o porque existen varios tipos de conexión al mismo tiempo.

Google permite revisar estas relaciones por separado. Si ya no utilizas el servicio, puedes eliminar también la vinculación de Iniciar sesión con Google.

Al hacerlo, Google deja de utilizar automáticamente tu cuenta para iniciar sesión en ese servicio. Sin embargo, eliminar esa conexión no borra la cuenta que puedas tener en la plataforma externa ni los datos almacenados allí.

Revocar el acceso no borra los datos que la extensión ya copió

Este es uno de los puntos más importantes después de instalar una extensión maliciosa o poco fiable.

Google explica expresamente que retirar el acceso evita que la aplicación siga obteniendo datos nuevos mediante esa autorización, pero no recupera ni elimina automáticamente la información que el tercero ya hubiera copiado.

Por ejemplo, si una aplicación tenía permiso para consultar contactos y anteriormente copió parte de esa información a sus propios servidores, revocar OAuth impide nuevas consultas, pero no borra esa copia remota.

En esos casos puede ser necesario contactar con el desarrollador o utilizar los mecanismos de eliminación de datos que proporcione el propio servicio.

Qué permisos debes considerar especialmente sensibles

No todos los accesos OAuth tienen las mismas consecuencias. Un permiso limitado a tu nombre, correo y fotografía de perfil tiene un alcance muy distinto a uno que permita leer o modificar el contenido de un producto de Google.

Presta especial atención a aplicaciones con permisos para:

• Leer o administrar Gmail.
• Ver, crear, modificar o borrar archivos de Drive.
• Acceder a Google Photos.
• Consultar o modificar eventos de Calendar.
• Leer o administrar contactos.
• Modificar datos en lugar de limitarse a consultarlos.

Google muestra los permisos concedidos en la ficha de cada aplicación vinculada. Si no existe una razón clara para que una extensión conserve uno de estos accesos, revocarlo es la opción más prudente.

Cómo eliminar también la extensión de Chrome

Si la extensión todavía está instalada, elimina primero su componente del navegador.

1. Abre Chrome en el ordenador.
2. Pulsa el menú de los tres puntos.
3. Entra en Extensiones > Gestionar extensiones.
4. Localiza la extensión.
5. Pulsa Eliminar.
6. Confirma la desinstalación.

Google indica que, cuando una extensión había cambiado determinados ajustes de Chrome, eliminándola el navegador puede restaurar esos valores al estado que tenían antes de su instalación.

Después de desinstalarla, realiza también la comprobación de OAuth en la cuenta de Google. Son dos pasos distintos.

Revisa los permisos de las extensiones que todavía conservas

No hace falta eliminar todas las extensiones para reducir el riesgo. Chrome permite limitar el acceso de un complemento a las páginas web.

Desde Extensiones > Gestionar extensiones > Detalles puedes comprobar si una extensión puede leer y modificar datos:

• Solo cuando pulsas sobre ella.
• En determinados sitios.
• En todos los sitios que visitas.

Si una extensión únicamente necesita funcionar en una página concreta, conceder acceso permanente a todos los sitios puede ser innecesario.

Estos permisos de Chrome tampoco sustituyen la revisión OAuth. Una extensión puede tener permisos de navegador limitados y mantener al mismo tiempo acceso autorizado a determinados datos de Google.

Qué hacer si no reconoces una aplicación conectada

Si encuentras una conexión que no recuerdas haber autorizado, revisa primero el nombre del desarrollador, los permisos concedidos y la fecha o contexto de uso si están disponibles.

Si sigue pareciendo sospechosa:

1. Revoca su acceso a la cuenta de Google.
2. Elimina cualquier extensión relacionada que continúe instalada.
3. Revisa las demás aplicaciones vinculadas.
4. Comprueba la actividad reciente de seguridad de tu cuenta.
5. Revisa los dispositivos donde la cuenta permanece iniciada.

Google permite además denunciar una aplicación desde su ficha de acceso si consideras que está utilizando tus datos de forma abusiva.

¿Hay que cambiar la contraseña de Google?

Haber concedido acceso OAuth a una extensión no significa automáticamente que el desarrollador conozca tu contraseña. Precisamente una de las funciones de OAuth es permitir un acceso limitado sin entregar directamente las credenciales.

Si el único problema fue conceder demasiados permisos a una aplicación, revocar la autorización puede ser suficiente para cortar ese acceso futuro.

Sin embargo, deberías cambiar la contraseña si introdujiste tus credenciales de Google directamente en una página sospechosa, detectas inicios de sesión desconocidos o existen otros indicios de que la cuenta completa podría haberse visto comprometida.

También conviene mantener activada la verificación en dos pasos y revisar las sesiones y dispositivos conectados.

Una extensión eliminada puede dejar de existir en Chrome pero seguir conectada a Google

La comprobación más útil después de descubrir una extensión maliciosa no termina en Eliminar de Chrome. Hay que distinguir entre lo que la extensión podía hacer dentro del navegador y lo que la aplicación asociada podía hacer mediante tu cuenta de Google.

Eliminar el complemento corta la primera vía. Revocar la autorización desde las conexiones de terceros corta la segunda.

Y existe una tercera cuestión que ninguna de las dos acciones puede resolver automáticamente: los datos que un tercero ya hubiera copiado mientras tenía permiso. Google advierte que, en ese caso, puede ser necesario solicitar directamente al desarrollador que elimine esa información.