Su nueva contraseña de Google no bloquea el acceso a las aplicaciones antiguas

Tras un susto, casi todo el mundo hace lo mismo. Un correo electrónico parece sospechoso, aparece un inicio de sesión desconocido en el resumen de la cuenta y lo primero que se hace es cambiar la contraseña. Nueva contraseña, verificar la autenticación de dos factores y, por un momento, todo vuelve a parecer en orden.

Con Google, esa sensación solo se mantiene a medias. Su documentación para desarrolladores enumera los motivos por los que una aplicación externa pierde el acceso a su cuenta. Uno de ellos indica que el usuario ha cambiado la contraseña y que el token de actualización contiene ámbitos de Gmail. Esa pequeña «y» lo dice todo. Si la aplicación tiene acceso a su bandeja de entrada, se pierde. Si tiene acceso a sus fotos, su calendario, sus contactos o sus archivos en Drive, se mantiene.

No se trata de un caso aislado, ya que el botón «Iniciar sesión con Google» aparece en decenas de miles de aplicaciones, y pocas de ellas han querido nunca acceder a su correo. Lo que querían era su perfil, sus fotos, su calendario. Esas son precisamente las autorizaciones que permanecen intactas tras un cambio de contraseña.

Seis razones, y solo una de ellas es usted

Google enumera seis situaciones en las que un permiso de acceso deja de funcionar: el usuario lo revoca; el token ha permanecido inactivo durante seis meses; se ha cambiado la contraseña y Gmail está implicado; la cuenta ha superado su límite máximo de permisos activos; un permiso de duración limitada ha caducado; o un administrador ha restringido uno de los servicios.

Vuelva a leer esa lista desde el final. Cuatro de las seis situaciones se producen sin que usted haga nada y sin que se le avise. El caso de la contraseña solo afecta cuando Gmail está involucrado. Eso le deja exactamente un control que está en sus manos, y se llama «eliminar acceso».

La ayuda habitual de Google para cuentas dice lo mismo con palabras más sencillas. Al cambiar su contraseña, se cerrará sesión en todas partes, según indica Google, con tres excepciones: los dispositivos que utilice para verificar su identidad, algunos dispositivos que ejecuten aplicaciones de terceros a las que haya concedido acceso a la cuenta y los dispositivos domésticos inteligentes que haya vinculado.

Existe un mecanismo que puede bloquear realmente el acceso externo. Google lo denomina «protección entre cuentas» y lo utiliza para enviar alertas de seguridad a los servicios conectados, que a su vez pueden cerrar su sesión por su parte. Se activa ante eventos sospechosos, como una cuenta secuestrada o suspendida, y el proveedor debe habilitar esta función. Cambiar su contraseña por su cuenta no es uno de esos eventos.

El permiso tiene una vigencia superior a la de la clave

Aquí se pierde algo en el uso diario. Existe la clave técnica que utiliza una aplicación para acceder a su cuenta y existe el permiso que usted concedió en algún momento, y ambos no caducan al mismo tiempo.

Esa clave caduca una vez que nadie la ha utilizado durante seis meses, mientras que el permiso permanece. Permanece en su cuenta como una entrada y, cuando vuelva a abrir la aplicación dos años después, simplemente funcionará, sin que aparezca en ningún sitio una nueva pantalla de consentimiento. Desde su perspectiva, parece como si nada hubiera caducado jamás.

A esto se suma el inicio de sesión automático, que Google describe en sus propias páginas de ayuda. Una vez que ha aceptado que su perfil pueda compartirse con una aplicación, en su próxima visita se iniciará sesión sin necesidad de pulsar ni una sola vez.

Retirar el acceso simplemente cierra el grifo, nada más

El error número dos se esconde en el propio proceso de limpieza, y la página de ayuda de Google sobre aplicaciones vinculadas incluye una frase que es fácil pasar por alto. Si desvincula una aplicación, los datos que ya se habían compartido pueden seguir almacenados en dicha aplicación. Para eliminarlos, debe acudir al sitio web del propio proveedor y borrarlos allí.

Por lo tanto, la retirada del acceso solo tiene efecto de cara al futuro, y su lista de contactos de 2021 sigue estando en poder del proveedor incluso después de que la entrada haya desaparecido de su cuenta de Google. En el caso de un servicio que aún existe, esto resulta simplemente molesto. En el caso de uno que se haya vendido desde entonces, ya ni siquiera sabrá quién conserva la copia.

El alcance de los datos a los que una aplicación puede acceder depende del nivel que usted confirmara en su momento. Google distingue tres tipos de conexión, y cada una de ellas permite cosas muy diferentes.

Desde el 12 de agosto ha ido creciendo una segunda lista

Hasta ahora, se ha tratado de subvenciones del pasado. Junto a ellas se está formando otra categoría. En el evento «Made by Google» celebrado en Nueva York el 12 de agosto de 2026, Google anunció trece aplicaciones conectadas más para Gemini —desde transcripciones de reuniones hasta citas médicas—, cuyo lanzamiento se llevará a cabo a lo largo de varias semanas.

La propia tabla de disponibilidad de Google añade un límite que el anuncio omite. Ticketmaster, Zocdoc, Thumbtack, Angi, Otter.ai, Granola y GetYourGuide figuran allí como disponibles únicamente en EE. UU. y solo en inglés. Pandora se limita a EE. UU. y Puerto Rico; iHeartRadio cubre cinco países; Localiza está disponible en Brasil y OpenTable, en el Reino Unido. Fuera de esos mercados, solo dos de las trece aplicaciones están disponibles: Wix y Fever, y Wix solo está disponible en inglés.

Debajo subyace una diferencia de diseño. Una descripción clásica reza así: Una aplicación conectada actúa. Concierta una cita, escribe en un documento, crea algo, en el momento en que se lo solicita a Gemini. En el centro de privacidad de Gemini, actualizado el 10 de agosto de 2026, Google incluye una cláusula propia que se aplica a las conexiones que el usuario añade por sí mismo. Google no supervisa ni protege los datos de dichas aplicaciones conectadas, y conectarlas puede exponer sus datos, contraseñas, dispositivos y cuentas a un acceso no autorizado.

Estas conexiones se encuentran en un lugar distinto al de las antiguas autorizaciones. Si limpia una lista, nunca habrá visto la otra.

Diez minutos, una vez al año

Acceder a esta sección es rápido: su cuenta de Google guarda las conexiones de terceros en la sección «Seguridad». Cada aplicación aparece en la lista con la fecha en la que le concedió permiso y a qué datos tiene acceso. Puede eliminar cualquier aplicación que no reconozca de inmediato. Lo mismo ocurre con aquellas que no haya abierto en un año.

A continuación, hay que seguir dos pasos más, y ninguno de ellos lleva mucho tiempo. Compruebe por separado en la configuración de su aplicación Gemini qué «Aplicaciones conectadas» están activas allí, ya que esa lista no se limpia automáticamente al mismo tiempo. Si una aplicación realmente ha tenido acceso a datos confidenciales, elimine su cuenta con ese proveedor; de lo contrario, la copia permanecerá.

Establecer una nueva contraseña sigue siendo la medida adecuada. Protege su acceso y expulsa a cualquier persona que se encuentre en una sesión activa con credenciales robadas. Simplemente no elimina lo que usted mismo haya facilitado.