Tutorial Audit Aplikasi Pihak Ketiga di Google dan Microsoft

Foto: tlaukkanen — CC BY 2.0

Ringkasan Cepat

• Akses OAuth yang pernah Anda setujui tetap aktif sampai dicabut, sehingga aplikasi lama bisa terus membaca data akun Google atau Microsoft.
• Audit dilakukan dari halaman keamanan akun: Google lewat Aplikasi pihak ketiga, Microsoft lewat Aplikasi dan layanan.
• Cabut akses yang tidak dikenal, catat izin sensitif seperti baca kirim email dan akses berkas, lalu ulangi audit setiap 3-6 bulan.

Aplikasi pihak ketiga yang pernah Anda izinkan lewat OAuth masih bisa membaca data atau bertindak atas nama akun Google dan Microsoft Anda, bahkan ketika aplikasi itu sudah lama tidak dibuka. Audit rutin berarti memeriksa daftar aplikasi yang punya akses, menilai izin yang diberikan, mencabut yang tidak perlu, lalu memantau aktivitas mencurigakan. Semua langkah ini bisa dilakukan sendiri dari halaman pengaturan akun, tanpa alat tambahan.

Memahami Akses OAuth Sebelum Mulai Audit

OAuth adalah mekanisme yang memungkinkan Anda memberi izin terbatas ke aplikasi lain tanpa menyerahkan kata sandi. Misalnya, aplikasi pencatat jadwal meminta izin membaca kalender, atau alat email marketing meminta izin mengirim email atas nama Anda. Alih-alih kata sandi, aplikasi menerima token akses yang bisa diperbarui otomatis.

Masalahnya, izin ini bersifat menetap. Selama Anda tidak mencabutnya, aplikasi tetap memegang token yang sah. Ada tiga situasi yang membuat kondisi ini berisiko:

• Aplikasi terlantar. Layanan yang sudah berhenti dikembangkan sering tidak lagi menerima pembaruan keamanan, tetapi tokennya masih berlaku.
• Kebocoran token. Jika basis data penyedia aplikasi diretas, token yang tersimpan di sana bisa dipakai pihak lain untuk mengakses akun Anda.
• Izin berlebihan. Banyak aplikasi meminta cakupan izin yang jauh lebih luas dari yang sebenarnya dibutuhkan.

Karena itu, audit bukan sekadar merapikan daftar. Ini adalah cara mempersempit permukaan serangan pada akun yang menjadi pusat identitas digital Anda. Prinsip yang sama juga berlaku untuk layanan kerja seperti yang dibahas di panduan keamanan Notion, Trello, dan Asana untuk tim remote.

Cara Audit Aplikasi Pihak Ketiga di Akun Google

Google menyediakan satu halaman khusus untuk melihat semua aplikasi yang memiliki akses ke akun Anda. Langkahnya sebagai berikut:

1. Buka myaccount.google.com dan masuk dengan akun yang ingin diaudit.
2. Pilih menu Keamanan, lalu cari bagian Aplikasi pihak ketiga dengan akses akun. Pada sebagian akun, daftar ini juga muncul di Data dan privasi dengan nama Aplikasi pihak ketiga dan layanan.
3. Buka setiap aplikasi satu per satu dan pilih Lihat detail untuk membaca daftar izin yang diberikan. Perhatikan cakupan seperti akses baca-tulis email, akses penuh ke Drive, atau akses ke kontak.
4. Tandai aplikasi yang tidak Anda kenali, sudah tidak dipakai, atau meminta izin yang tidak masuk akal untuk fungsinya.
5. Klik aplikasi tersebut, pilih Hapus akses, dan konfirmasi.
6. Periksa juga bagian Kata sandi aplikasi serta Perangkat Anda untuk memastikan tidak ada sesi atau kredensial lama yang masih aktif.

Satu hal yang perlu diingat: mencabut akses menghentikan aplikasi mengambil data baru, tetapi tidak otomatis menghapus data yang sudah tersimpan di server mereka. Jika aplikasi menyimpan salinan email atau berkas, hapus data tersebut melalui pengaturan akun di layanan bersangkutan. Untuk akun Google Workspace, administrator organisasi juga bisa meninjau izin aplikasi dari konsol admin dan membatasi aplikasi tertentu untuk seluruh pengguna.

Cara Audit Aplikasi Pihak Ketiga di Akun Microsoft

Microsoft memisahkan pengelolaan izin untuk akun pribadi dan akun kerja. Keduanya bisa diaudit dengan langkah yang mirip.

Akun pribadi

1. Masuk ke account.microsoft.com.
2. Buka menu Privasi, lalu pilih Aplikasi dan layanan.
3. Telusuri daftar aplikasi yang dapat mengakses data Anda. Setiap entri menampilkan izin yang diberikan.
4. Pilih aplikasi yang mencurigakan atau tidak lagi dipakai, lalu gunakan opsi untuk mengedit atau menghapus izinnya.

Akun kerja atau sekolah

Pada akun organisasi, daftar aplikasi biasanya dikelola melalui Microsoft Entra. Pengguna dapat melihat aplikasi yang sudah menyetujui akses melalui myapps.microsoft.com atau halaman Privasi di myaccount.microsoft.com. Administrator dapat meninjau Enterprise applications di pusat admin untuk melihat aplikasi mana yang memiliki izin tingkat organisasi, termasuk izin ke Microsoft Graph seperti membaca profil semua pengguna atau mengakses berkas OneDrive.

Jika menemukan aplikasi dengan izin tingkat organisasi yang tidak dikenal, jangan langsung mencabutnya tanpa koordinasi. Hubungi tim TI agar integrasi yang sah tidak ikut terputus, sekaligus memastikan tidak ada penyalahgunaan. Pendekatan hati-hati ini sama pentingnya dengan langkah pada panduan mengamankan Google Ads dan Meta Business untuk UMKM, karena integrasi iklan juga kerap memegang izin luas.

Membaca Izin: Mana yang Wajar, Mana yang Berisiko

Tidak semua izin berbahaya. Yang perlu Anda lakukan adalah mencocokkan izin dengan fungsi aplikasi. Aplikasi pengingat jadwal tidak punya alasan membaca seluruh isi kotak masuk, dan aplikasi pengubah foto tidak perlu mengirim email atas nama Anda.

Jenis izin	Contoh cakupan	Tingkat risiko
Profil dasar	Nama, alamat email, foto profil	Rendah
Baca email	Akses baca kotak masuk	Tinggi, bisa membuka kode verifikasi dan informasi sensitif
Kirim email	Kirim atas nama Anda	Tinggi, bisa dipakai menyebar phishing
Akses berkas	Drive atau OneDrive baca-tulis	Tinggi, mencakup dokumen kerja dan pribadi
Kalender	Baca dan ubah jadwal	Sedang hingga tinggi, membocorkan pola aktivitas
Kontak	Baca daftar kontak	Sedang, memudahkan penargetan
Akses berkelanjutan	Token penyegar tanpa batas waktu	Tinggi, akses tetap hidup meski Anda jarang masuk

Gunakan tabel ini sebagai panduan cepat: izin dengan tingkat risiko tinggi hanya wajar diberikan kepada aplikasi yang benar-benar Anda percaya dan gunakan secara aktif.

Memantau Aktivitas dan Merawat Akun Secara Berkala

Audit izin sebaiknya berpasangan dengan pemantauan aktivitas, karena keduanya saling melengkapi. Berikut kebiasaan yang layak dijalankan:

• Periksa aktivitas keamanan. Google menampilkan riwayat perangkat dan aktivitas keamanan terbaru; Microsoft menampilkan aktivitas masuk terbaru. Cari lokasi atau perangkat yang tidak Anda kenali.
• Aktifkan notifikasi keamanan. Peringatan login mencurigakan biasanya dikirim ke email pemulihan atau aplikasi autentikator.
• Audit setiap tiga sampai enam bulan. Jadwalkan pengingat rutin agar daftar aplikasi tidak menumpuk.
• Waspadai layar persetujuan palsu. Jangan menyetujui izin dari tautan yang dikirim orang lain, dan selalu periksa alamat situs pada halaman consent.
• Perkuat kunci masuk. Gunakan kata sandi unik dari pengelola kata sandi serta verifikasi dua langkah berbasis aplikasi autentikator atau kunci keamanan fisik.
• Hapus akun lama. Untuk aplikasi yang tidak lagi Anda gunakan, hapus juga akunnya di layanan tersebut agar data tidak tertinggal.

Jika Anda mengelola banyak layanan, mulailah dari akun yang paling sering menjadi kunci pemulihan, seperti email utama. Pola pikirnya mirip dengan proteksi terhadap session hijacking cookie browser: yang dijaga bukan hanya kata sandi, tetapi juga token sesi yang bisa dipakai tanpa Anda sadari. Untuk akun profesional, langkah pada panduan keamanan akun LinkedIn untuk pencari kerja Indonesia juga menekankan hal serupa, yaitu memeriksa aplikasi terhubung secara berkala.

Pertanyaan yang Sering Diajukan (FAQ)

Apa bedanya mencabut akses OAuth dengan mengganti kata sandi?

Mengganti kata sandi tidak selalu mematikan token OAuth yang sudah diterbitkan. Untuk benar-benar menghentikan akses, Anda perlu mencabut izin aplikasi di halaman keamanan akun. Sebaiknya lakukan keduanya jika Anda mencurigai adanya penyalahgunaan, lalu aktifkan verifikasi dua langkah.

Apakah aman mencabut akses aplikasi yang masih saya pakai?

Aman, tetapi aplikasi tersebut akan berhenti bekerja sampai Anda menghubungkannya ulang dan menyetujui izin lagi. Jika aplikasi itu penting, catat dulu nama dan izinnya sebelum mencabut, lalu sambungkan kembali setelah Anda yakin aplikasinya tepercaya.

Bagaimana cara mengetahui aplikasi pihak ketiga berbahaya atau tidak?

Periksa nama pengembang, situs resminya, dan kesesuaian antara fungsi aplikasi dengan izin yang diminta. Aplikasi tanpa situs resmi, tanpa kebijakan privasi, atau meminta izin jauh lebih luas dari kebutuhannya adalah tanda peringatan yang serius.

Apakah mencabut akses menghapus data saya di server aplikasi tersebut?

Tidak. Pencabutan hanya menghentikan pengambilan data baru. Data yang sudah tersimpan sebelumnya tetap ada di sistem mereka sesuai kebijakan privasi masing-masing. Untuk menghapusnya, Anda perlu menghapus akun atau mengajukan permintaan penghapusan data ke layanan tersebut.

Seberapa sering audit izin aplikasi sebaiknya dilakukan?

Setiap tiga sampai enam bulan untuk akun pribadi, dan segera setelah Anda berhenti memakai suatu layanan. Untuk akun kerja dengan banyak integrasi, koordinasikan dengan tim TI agar pencabutan izin tidak memutus alur kerja yang masih dibutuhkan.

English Version — Tutorial: Auditing Third-Party Apps in Google and Microsoft

Quick Summary

• OAuth access you once approved remains active until revoked, so old apps can continue reading data from your Google or Microsoft account.
• The audit is done from the account security page: for Google via Third-party apps, for Microsoft via Apps and services.
• Revoke unrecognized access, note sensitive permissions such as reading and sending email and file access, then repeat the audit every 3–6 months.

Third-party apps you once authorized via OAuth can still read data or act on behalf of your Google and Microsoft accounts, even when you haven't opened them in a long time. A routine audit means checking the list of apps with access, assessing the permissions granted, revoking unnecessary ones, and then monitoring for suspicious activity. All these steps can be done yourself from your account settings pages, without additional tools.

Understanding OAuth Access Before Starting the Audit

OAuth is a mechanism that lets you grant limited permission to another app without handing over your password. For example, a scheduling app asks for permission to read your calendar, or an email marketing tool asks for permission to send email on your behalf. Instead of a password, the app receives an access token that can be refreshed automatically.

The problem is that these permissions are persistent. As long as you do not revoke them, the app still holds a valid token. There are three situations that make this risky:

• Abandoned apps. Services that are no longer developed often stop receiving security updates, but their tokens remain valid.
• Token leaks. If the app provider's database is hacked, the tokens stored there can be used by others to access your account.
• Excessive permissions. Many apps request permission scopes far broader than they actually need.

Therefore, an audit is not just about tidying up a list. It is a way to narrow the attack surface on the account that sits at the center of your digital identity. The same principle applies to work services such as those discussed in the security guide for Notion, Trello, and Asana for remote teams.

How to Audit Third-Party Apps in a Google Account

Google provides a dedicated page to view all apps that have access to your account. The steps are as follows:

1. Open myaccount.google.com and sign in with the account you want to audit.
2. Select the Security menu, then find the Third-party apps with account access section. On some accounts, this list also appears under Data & privacy as Third-party apps & services.
3. Open each app one by one and select View details to read the list of permissions granted. Pay attention to scopes such as read-write access to email, full access to Drive, or access to contacts.
4. Flag apps you do not recognize, no longer use, or that request permissions that do not make sense for their function.
5. Click the app, select Remove access, and confirm.
6. Also check the App passwords and Your devices sections to make sure there are no old sessions or credentials still active.

One thing to remember: revoking access stops the app from retrieving new data, but it does not automatically delete data already stored on their servers. If the app stores copies of emails or files, delete that data through the account settings of the service in question. For Google Workspace accounts, organization administrators can also review app permissions from the admin console and restrict certain apps for all users.

How to Audit Third-Party Apps in a Microsoft Account

Microsoft separates permission management for personal and work accounts. Both can be audited with similar steps.

Personal account

1. Sign in to account.microsoft.com.
2. Open the Privacy menu, then select Apps and services.
3. Browse the list of apps that can access your data. Each entry shows the permissions granted.
4. Select any suspicious or no-longer-used app, then use the option to edit or remove its permissions.

Work or school account

For organizational accounts, the app list is usually managed through Microsoft Entra. Users can view apps they have consented to access via myapps.microsoft.com or the Privacy page at myaccount.microsoft.com. Administrators can review Enterprise applications in the admin center to see which apps have organization-level permissions, including permissions to Microsoft Graph such as reading all users' profiles or accessing OneDrive files.

If you find an app with unfamiliar organization-level permissions, do not revoke it immediately without coordination. Contact the IT team so that legitimate integrations are not disconnected, while also ensuring there is no abuse. This cautious approach is as important as the steps in the guide to securing Google Ads and Meta Business for SMEs, because advertising integrations often hold broad permissions as well.

Reading Permissions: What Is Reasonable and What Is Risky

Not all permissions are dangerous. What you need to do is match permissions with the app's function. A scheduling reminder app has no reason to read your entire inbox, and a photo editing app does not need to send email on your behalf.

Permission type	Example scope	Risk level
Basic profile	Name, email address, profile photo	Low
Read email	Read access to inbox	High, can expose verification codes and sensitive information
Send email	Send on your behalf	High, can be used to spread phishing
File access	Read-write to Drive or OneDrive	High, covers work and personal documents
Calendar	Read and modify schedule	Medium to high, leaks activity patterns
Contacts	Read contact list	Medium, makes targeting easier
Persistent access	Refresh token with no expiration	High, access remains alive even if you rarely sign in

Use this table as a quick guide: high-risk permissions are only reasonable to grant to apps you truly trust and actively use.

Monitoring Activity and Maintaining Your Account Regularly

Permission audits should be paired with activity monitoring, because the two complement each other. Here are habits worth adopting:

• Check security activity. Google shows recent device and security activity history; Microsoft shows recent sign-in activity. Look for locations or devices you do not recognize.
• Enable security notifications. Suspicious login alerts are usually sent to your recovery email or authenticator app.
• Audit every three to six months. Schedule regular reminders so your app list does not pile up.
• Beware of fake consent screens. Do not approve permissions from links sent by others, and always check the site address on the consent page.
• Strengthen sign-in security. Use unique passwords from a password manager and two-step verification based on an authenticator app or physical security key.
• Delete old accounts. For apps you no longer use, also delete your account with that service so data is not left behind.

If you manage many services, start with the account most often used as your recovery key, such as your primary email. The mindset is similar to protection against browser cookie session hijacking: what you are protecting is not just the password, but also session tokens that can be used without your awareness. For professional accounts, the steps in the LinkedIn account security guide for Indonesian job seekers also emphasize something similar, namely checking connected apps regularly.

FAQ (English)

What is the difference between revoking OAuth access and changing your password?

Changing your password does not always invalidate OAuth tokens that have already been issued. To truly stop access, you need to revoke the app's permission on your account security page. It is best to do both if you suspect abuse, then enable two-step verification.

Is it safe to revoke access for an app I still use?

Yes, but the app will stop working until you reconnect it and approve permissions again. If the app is important, note its name and permissions before revoking, then reconnect it after you are sure the app is trustworthy.

How can you tell whether a third-party app is dangerous?

Check the developer's name, its official website, and whether the app's function matches the permissions requested. An app with no official website, no privacy policy, or permissions far broader than its needs is a serious warning sign.

Does revoking access delete my data on the app's servers?

No. Revoking only stops new data retrieval. Data already stored remains in their systems according to their respective privacy policies. To delete it, you need to delete your account or submit a data deletion request to that service.

How often should you audit app permissions?

Every three to six months for personal accounts, and immediately after you stop using a service. For work accounts with many integrations, coordinate with the IT team so that revoking permissions does not cut off workflows that are still needed.