Applications tierces dans Google Workspace : comment revoir les accès accordés ?

En bref : Pour revoir les applications tierces connectées à Google Workspace, listez les applications autorisées et examinez pour chacune les autorisations accordées (lecture des e-mails, accès Drive, agenda…). Une application légitime hier peut devenir un risque aujourd'hui si son usage a cessé. Organisez une revue régulière : retirer un accès réellement inutilisé réduit la surface d’exposition, après vérification qu’aucune automatisation ou dépendance ne l’utilise encore.

Un outil de planification, une extension ou un service de signature peut demander l’accès à des informations Google. L’autorisation répond parfois à un besoin immédiat, puis l’application reste connectée alors que son usage a disparu.

La revue des applications tierces consiste à identifier ces accès, comprendre leur utilité et décider s’ils doivent être conservés. Elle doit associer l’administrateur et les personnes qui connaissent l’usage métier de l’outil.

MOZAYK Workspace aide à examiner les informations disponibles sur les applications et autorisations dans le périmètre connecté. Les règles générales d’accès se gèrent dans la console Google.

Comprendre ce qu’une application demande

Une connexion avec un compte Google peut servir à identifier un utilisateur. Une autorisation peut aussi permettre à une application d’accéder à certaines données. Il faut donc lire le périmètre demandé plutôt que de se limiter au nom du service.

Les autorisations OAuth décrivent les accès sollicités par l’application. Leur portée peut varier : consulter une information, intervenir sur des événements ou accéder à des fichiers, selon le service et la fonction. La documentation Google sur le contrôle des applications explique leur gestion dans Workspace.

Posez une question concrète : les données accessibles correspondent-elles à la tâche que l’entreprise attend de cet outil ? Une autorisation large demande une justification plus précise qu’un usage mal défini.

Faire l’inventaire avant de modifier les règles

Commencez par les applications connues, puis examinez celles dont le nom ou l’éditeur ne vous dit rien. Identifiez les utilisateurs concernés et recherchez un responsable capable d’expliquer le besoin.

Dans la console Google, les contrôles des API et de l’accès aux applications permettent de revoir les outils et leur configuration. MOZAYK fournit un point d’entrée pour examiner les informations d’audit disponibles. L’étendue de la liste dépend des accès accordés et des données remontées.

Conservez les détails qui permettent de reconnaître une application avec certitude. Deux outils peuvent avoir des noms proches ; un changement de nom commercial peut également masquer un service déjà connu de l’équipe.

Évaluer l’usage avec quatre questions

Pour chaque application à revoir, demandez :

1. Qui l’utilise encore ? Une personne peut avoir testé le service sans l’avoir adopté.
2. Quelle tâche remplit-elle ? Une réponse précise permet de comprendre les données nécessaires.
3. Que se passerait-il si l’accès était retiré ? Cette question identifie les dépendances et les risques d’interruption.
4. Qui peut valider la décision ? Le responsable technique et le responsable métier n’ont pas toujours le même rôle.

Le but est de conserver les outils utiles avec un accès adapté. La présence d’une application tierce ne constitue pas, à elle seule, une anomalie.

Vérifié, approuvé, utile : des notions différentes

Un statut de vérification apporte une information sur le parcours de l’application auprès de Google. Il ne remplace pas votre décision sur son usage dans l’entreprise. De même, un outil approuvé il y a un an peut ne plus être nécessaire aujourd’hui.

Google explique les statuts et les possibilités d’autorisation dans sa documentation sur les applications tierces vérifiées.

Votre revue doit donc rapprocher plusieurs éléments : identité de l’éditeur, autorisations, usage réel et politique interne. Aucun de ces points ne suffit isolément à répondre à toutes les questions.

Choisir une décision proportionnée

La décision doit être compréhensible par les utilisateurs concernés. Si vous bloquez un outil encore utilisé, indiquez la raison et le parcours alternatif prévu, lorsqu’il existe.

Préparer le retrait d’un accès

Avant une modification, vérifiez si une automatisation ou une activité dépend du service. Choisissez un moment adapté et informez les personnes qui risquent de constater un changement.

Après l’intervention, confirmez que le résultat correspond à la décision et que les usages à conserver fonctionnent encore. Évitez de considérer qu’un changement de statut dans une liste démontre, à lui seul, que toutes les conséquences ont été vérifiées.

Le retrait d’un accès et le devenir des données déjà détenues par le prestataire sont deux questions à traiter. Si vous quittez une application, examinez aussi ses conditions d’export et de suppression des données, selon le besoin de l’entreprise.

Exemple : un ancien outil de prise de rendez-vous

Imaginons qu’une équipe ait testé un service connecté aux calendriers, puis adopté une autre solution. L’ancien outil apparaît encore dans les accès disponibles.

Le responsable confirme que les liens de réservation ne sont plus utilisés. Avant de retirer l’accès, l’équipe vérifie les pages publiques et les messages automatiques qui pouvaient contenir ces liens. La décision et la date d’intervention sont conservées.

Cette démarche évite deux erreurs : conserver indéfiniment une autorisation oubliée ou interrompre un usage encore actif sans le savoir.

Garder une revue régulière

Prévoyez une vérification lors du départ d’un utilisateur, du remplacement d’un outil ou d’une revue de sécurité. Les applications changent au fil des projets ; leur inventaire doit suivre cette évolution.

Le guide d’audit Google Workspace permet de replacer ces contrôles parmi les autres priorités. La checklist de départ d’un collaborateur aide à examiner les dépendances liées à une personne. Pour en faire une habitude plutôt qu’un chantier ponctuel, voir les routines d’administration Google Workspace au quotidien.

Étape par étape : revoir et révoquer l’accès d’une application tierce

1. Ouvrez la console d’administration Google avec un compte disposant des droits de sécurité.
2. Allez dans Sécurité, puis Contrôle des accès et des données, puis Commandes des API. L’écran « Gérer l’accès des applications tierces » liste les applications connectées et leur statut (approuvée, bloquée, non configurée).
3. Ouvrez une application pour lire les autorisations OAuth accordées et le nombre d’utilisateurs concernés.
4. Notez le contexte avant de décider : utilisateurs actifs, responsable métier, tâche remplie, dépendances possibles.
5. Choisissez l’action : approuver l’application, restreindre son périmètre ou la bloquer. Bloquer coupe l’accès pour tous les utilisateurs concernés.
6. Pour un seul compte, l’utilisateur retire lui-même l’accès depuis la page des autorisations de son compte Google, ou vous le retirez depuis sa fiche utilisateur.
7. Vérifiez le résultat quelques jours plus tard : l’application ne doit plus apparaître avec un accès actif, et les usages à conserver doivent continuer à fonctionner.

Les pièges les plus fréquents

• Bloquer une application encore utilisée. Un nom inconnu de l’équipe IT peut correspondre à un outil essentiel d’un service métier. Cherchez le responsable avant d’agir.
• Confondre connexion et accès aux données. « Se connecter avec Google » identifie seulement l’utilisateur ; ce sont les autorisations demandées qui donnent accès aux e-mails, aux fichiers ou à l’agenda.
• Se fier au statut « vérifié ». Il renseigne sur le parcours de l’éditeur auprès de Google, pas sur l’utilité de l’outil dans votre entreprise.
• Croire que révoquer efface les données. Le prestataire peut conserver ce qu’il a déjà copié : demandez l’export ou la suppression séparément.
• Oublier les automatisations. Un script, un connecteur ou un formulaire peut dépendre de l’autorisation retirée.

Questions fréquentes

Comment voir les applications tierces connectées à Google Workspace ?

Dans la console d’administration, ouvrez Sécurité, puis Contrôle des accès et des données, puis Commandes des API et « Gérer l’accès des applications tierces ». La liste indique chaque application, son statut et les autorisations accordées.

Comment révoquer l’accès d’une application tierce à un compte Google ?

Pour toute l’organisation, passez l’application en « Bloquée » dans les commandes des API. Pour un seul compte, retirez l’accès depuis les autorisations de ce compte Google. Le blocage empêche les nouveaux accès de l’application selon la politique appliquée ; vérifiez ensuite le résultat et les dépendances éventuelles.

Bloquer une application supprime-t-elle les données qu’elle détient déjà ?

Non. Le blocage arrête les accès futurs. La suppression des données déjà copiées relève des conditions du prestataire et doit être demandée séparément.

À quelle fréquence faire cette revue ?

Deux à quatre revues par an peuvent constituer un rythme de départ, à adapter à l’entreprise, avec une vérification lors d’un départ, du remplacement d’un outil ou d’un incident de sécurité.

À retenir

• La liste des applications connectées se trouve dans les commandes des API de la console d’administration.
• Ce sont les autorisations OAuth, pas le nom de l’outil, qui déterminent le risque.
• Un accès confirmé comme inutile peut être retiré après vérification de ses éventuelles dépendances ; un accès actif doit être confirmé avec son responsable.
• Révoquer un accès et faire supprimer les données déjà transmises sont deux démarches distinctes.

Retrouvez les accès qui méritent une décision. Essayez MOZAYK Workspace pendant 30 jours gratuitement, sans carte bancaire, pour faciliter la lecture des informations utiles à votre administration.