Mitä tapahtuu, kun painat Yhdistä? Näin Someapuri pääsee tileillesi ilman salasanaasi

Moni epäröi siinä kohtaa, kun työkalu pyytää yhdistämään yrityksen some-tilit. Ajatus on epämukava: annanko nyt jollekin sovellukselle avaimet tileihin, joita olen rakentanut vuosia? Varovaisuus on tervettä. Siksi käydään läpi, mitä Yhdistä-napin takana oikeasti tapahtuu ja miksi salasanasi ei liiku siinä minnekään.

Avainkortti, ei yleisavain

Tilien yhdistäminen perustuu OAuth-nimiseen tekniikkaan. Nimeä ei tarvitse muistaa, mutta idea kannattaa. Sama tekniikka on käytössä joka kerta, kun painat jossain palvelussa "Kirjaudu Googlella". Kyseessä on koko alan avoin standardi, jota Meta, Google, TikTok, X ja LinkedIn kaikki käyttävät.

Paras vertaus on hotellin avainkortti. Kun majoitut hotelliin, et saa yleisavainta koko taloon. Saat kortin, joka avaa oman huoneesi ja kuntosalin oven. Uloskirjautumispäivänä se lakkaa toimimasta. Jos kortti katoaa, vastaanotto mitätöi sen sekunneissa. Lukkoja ei tarvitse vaihtaa.

OAuth toimii samalla tavalla. Kun yhdistät vaikkapa Facebook-sivusi Someapuriin, Meta antaa Someapurille avainkortin eli luvan tehdä tarkasti rajatut asiat sinun puolestasi. Salasanasi on se yleisavain, ja se pysyy koko ajan sinulla.

Mitä Yhdistä-napin takana tapahtuu

Kytkentä menee aina saman kaavan mukaan alustasta riippumatta:

Salasanasi syötät siis alustan omalle sivulle, samalle, jota käytät muutenkin. Someapuri ei näe sitä missään vaiheessa, eikä sitä tallenneta mihinkään Someapurin järjestelmiin. Kytkennän jälkeen tilit näkyvät Tilit-sivulla, ja vihreä pallo kertoo yhteyden olevan kunnossa:

Mitä Someapuri saa tehdä ja mitä ei

Avainkortti avaa vain ne ovet, jotka hyväksyit. Oikeuksien lista näkyy kytkentävaiheessa, ja se on suunnilleen tämä:

Alusta valvoo rajoja, ei työkalu. Vaikka Someapuri yrittäisi tehdä jotain listan ulkopuolelta, Meta tai Google yksinkertaisesti kieltäytyy. Tämä on koko järjestelyn pointti: sinun ei tarvitse luottaa työkalun lupauksiin, koska alusta pitää huolen rajoista.

Yhteyden saa poikki milloin tahansa

Avainkortin voi mitätöidä kahdesta paikasta, ja kumpikin katkaisee pääsyn heti:

• Someapurin Tilit-sivulta poistamalla yhteyden.
• Alustan omista asetuksista: Facebookissa kohdasta Asetukset → Yritysintegraatiot, Googlessa tilin Tietoturva-osiosta.

Kortti vanhenee myös itsestään. Esimerkiksi Metan myöntämä lupa on voimassa noin 60 päivää kerrallaan. Siksi Tilit-sivulla näkyy välillä Yhdistä uudelleen -nappi. Se ei ole vika vaan turvaominaisuus. Jos lopettaisit palvelun käytön etkä koskaan palaisi, pääsy kuivuisi kasaan ihan itsestään.

Mistä tunnistat turvallisen työkalun

Nyrkkisääntö on yksinkertainen: kunnollinen työkalu ei koskaan kysy some-tilisi salasanaa omalla lomakkeellaan. Jos jokin palvelu pyytää syöttämään Facebook-salasanan muualle kuin facebook.comiin, älä anna sitä. Kyberturvallisuuskeskus muistuttaa, että vuotanut salasana on riski muissakin palveluissa, koska moni käyttää samaa salasanaa useassa paikassa.

OAuth-kytkennässä tätä riskiä ei synny, koska salasana ei liiku mihinkään. Annat avainkortin, et yleisavainta.

Someapurin kaikki tilikytkennät (Facebook, Instagram, YouTube, TikTok, X ja LinkedIn) toimivat juuri näin. Jos haluat kokeilla, aloita tästä.