Les applications tierces n'utilisant qu'un mot de passe pour accéder aux comptes Google ne seront plus prises en charge

Sauf OAuth pour IMAP, SMTP et POP, à partir du 30 septembre 2024

À partir du 30 septembre 2024, les applications tierces qui utilisent uniquement un mot de passe pour accéder aux comptes Google et à Google Sync ne seront plus prises en charge. Au lieu de cela, vous devrez utiliser la méthode d'authentification OAuth comme option de connexion à Google.

Ce qui change

Dans le cadre de son engagement en faveur de la sécurité des utilisateurs, l'Espace de travail Google ne prendra plus en charge la méthode de connexion aux applications ou appareils tiers qui oblige les utilisateurs à partager leur nom d'utilisateur et leur mot de passe Google. Cette méthode de connexion obsolète, connue sous le nom d'applications moins sécurisées (LSA), présente un risque supplémentaire pour les utilisateurs, car elle nécessite le partage des informations d'identification du compte Google avec des applications et des appareils tiers, ce qui peut faciliter l'accès non autorisé au compte par des acteurs malveillants.

Au lieu de cela, vous devrez utiliser l'option de connexion à Google, qui constitue un moyen plus sûr de synchroniser vos e-mails avec d'autres applications. La connexion avec Google exploite la méthode d'authentification OAuth, standard de l'industrie et plus sécurisée, déjà utilisée par la grande majorité des apps et appareils tiers.

Google a déjà annoncé ce changement en 2019, et ils sont maintenant prêts à partager un calendrier mis à jour concernant ce changement :

L'accès aux apps moins sécurisées (LSA) sera désactivé en deux étapes :

1. À partir du 15 juin 2024 :
   
   • Les paramètres LSA seront supprimés de la console d'administration et ne pourront plus être modifiés. Les utilisateurs autorisés pourront se connecter pendant cette période, mais les utilisateurs désactivés ne pourront plus accéder aux LSA. Cela inclut toutes les applications tierces qui requièrent un accès par mot de passe uniquement à Gmail, Google Calendar, Contacts via des protocoles tels que CalDAV, CardDAV, IMAP, SMTP et POP.
   • Les paramètres d'activation/désactivation de l'IMAP seront supprimés des paramètres Gmail des utilisateurs.
   • Si vous avez utilisé les LSA avant cette date, vous pouvez continuer à les utiliser jusqu'au 30 septembre 2024.
   
   
2. À partir du 30 septembre 2024 :
   
   • L'accès aux LSA sera désactivé pour tous les comptes Google Workspace. CalDAV, CardDAV, IMAP, POP et Google Sync ne fonctionneront plus lorsque vous vous connectez à l'aide d'un simple mot de passe. Vous devrez vous connecter à l'aide d'un type d'accès plus sécurisé appelé OAuth.
   
   

Dans le cadre de ce changement, Google Sync sera également supprimé :

• À partir du 15 juin 2024 : Les nouveaux utilisateurs ne pourront plus se connecter à Google Workspace via Google Sync.
• Le 30 septembre 2024 : Les utilisateurs actuels de Google Sync ne pourront plus se connecter à Google Workspace. Voici la marche à suivre pour déconnecter votre entreprise de Google Sync. Pour connaître l'utilisation de Google Sync dans votre entreprise, accédez à la console d'administration, naviguez jusqu'à Appareils > Mobile et terminaux > Appareils, et filtrez par Type : Google Sync.

Voici des conseils plus spécifiques à l'intention des administrateurs, des utilisateurs finaux et des développeurs concernant ce changement.

Qui est concerné ?

Les administrateurs et les utilisateurs finaux.

Pour commencer

Administrateurs

Préparer vos utilisateurs finaux

Pour que vos utilisateurs finaux puissent continuer à utiliser ces types d'applications avec leurs comptes Google Workspace, ils doivent passer à un type d'accès plus sécurisé appelé OAuth. Dans les mois à venir, vous recevrez par courrier électronique des informations supplémentaires sur les utilisateurs concernés au sein de votre organisation. Google recommande de partager les instructions destinées aux utilisateurs afin de les aider à effectuer les changements nécessaires.

Impact sur la gestion des appareils mobiles (MDM)

Si votre organisation utilise un fournisseur de gestion des appareils mobiles (MDM) pour configurer des profils IMAP, CalDAV, CardDAV, POP ou Exchange ActiveSync (Google Sync), ces services seront progressivement supprimés selon le calendrier ci-dessous :


Scanners et autres appareils

Si vous avez des scanners ou d'autres appareils qui utilisent le protocole de transfert de courrier simple (SMTP) ou des LSA pour envoyer des courriels, vous devrez soit les configurer pour qu'ils utilisent OAuth, soit utiliser une autre méthode, soit configurer un mot de passe d'application à utiliser avec l'appareil.

Utilisateurs finaux

Si vous utilisez une application qui accède à votre compte Google à l'aide d'un nom d'utilisateur et d'un mot de passe, prenez l'une des mesures suivantes pour continuer à accéder à vos e-mails, à votre calendrier ou à vos contacts. Si vous ne prenez pas l'une des mesures suivantes d'ici le 30 septembre 2024, vous commencerez à recevoir un message d'erreur indiquant que votre combinaison nom d'utilisateur-mot de passe est incorrecte et vous ne pourrez pas vous connecter.


Applications de calendrier

• Si vous utilisez une application qui utilise CalDAV basé sur un mot de passe pour donner accès à votre calendrier, passez à une méthode qui prend en charge OAuth. Google recommande l'application Google Agenda comme l'application la plus sécurisée à utiliser avec votre compte Google Workspace.
• Si votre compte Google Workspace est lié à l'application de calendrier dans iOS ou MacOS et qu'il utilise uniquement un mot de passe pour se connecter, vous devrez supprimer et réinsérer votre compte sur votre appareil. Lorsque vous le rajouterez, sélectionnez "se connecter avec Google" pour utiliser automatiquement OAuth.

Applications de contacts

• Si votre compte Google Workspace synchronise des contacts avec iOS ou MacOS via CardDAV et utilise uniquement un mot de passe pour se connecter, vous devez supprimer votre compte. Lorsque vous le rajouterez, sélectionnez "se connecter avec Google" pour utiliser automatiquement OAuth.
• Si votre compte Google Workspace synchronise des contacts avec une autre plate-forme ou application via CardDAV et utilise uniquement un mot de passe pour se connecter, optez pour une méthode prenant en charge OAuth.

Toutes les autres applications

Si l'application que vous utilisez ne prend pas en charge OAuth, vous devrez passer à une application qui propose OAuth ou créer un mot de passe pour accéder à ces applications.

Développeurs

Pour maintenir la compatibilité avec les comptes Google Workspace, mettez à jour votre application afin d'utiliser OAuth 2.0 comme méthode de connexion. Pour commencer, suivez le guide du développeur sur l'utilisation d'OAuth 2.0 pour accéder aux API Google. Vous pouvez également consulter le guide sur OAuth 2.0 pour les applications mobiles et de bureau.

Utilisateurs disposant de comptes Google personnels : Dans les semaines à venir, nous supprimerons l'option d'activation/désactivation de l'accès IMAP de vos paramètres Gmail. L'accès IMAP est toujours activé par OAuth et vos connexions actuelles ne seront pas affectées. Aucune action n'est requise de la part des utilisateurs.

Disponibilité

Cette modification concerne tous les clients de Google Workspace.

Source : Google

Et vous ?

Quel est votre avis sur le sujet ?
Pensez-vous que cette décision de Google soit crédible ou pertinente ?

Voir aussi :

Google renforce la sécurité de son système d'authentification OAuth pour prévenir la survenue d'attaques de phishing

Les cybercriminels ont trouvé un nouveau moyen d'accéder aux comptes Google sans mot de passe selon la société de cybersécurité CloudSEK

Google Authenticator synchronisera désormais tous les codes d'authentification à deux facteurs qu'il génère avec le compte Google de l'utilisateur, mais cela ajoute un nouveau risque de sécurité