Google OAuth supporta DPoP: refresh token più difficili da riusare dopo un furto

2026-10-22

Google ha annunciato il supporto a DPoP per Google OAuth , una novità rilevante per chi sviluppa applicazioni che usano account Google, API Google Workspace, integrazioni SaaS o flussi di automazione con agenti AI. DPoP, acronimo di Demonstrating Proof-of-Possession , serve a ridurre un rischio molto concreto: il riuso di token rubati. In particolare, l’implementazione di Google si concentra sui refresh token , cioè le credenziali a lunga durata che permettono a un’applicazione di ottenere nuovi access token senza chiedere nuovamente il consenso all’utente. La novità non elimina la necessità di progettare bene OAuth, né sostituisce PKCE, gestione dei segreti, rotazione delle credenziali e controlli di sessione. Cambia però il modello di rischio: un refresh token sottratto non dovrebbe più bastare, da solo, per ottenere nuovi access token se non è accompagnato dalla chiave privata associata al client. Per PMI, software house e team che gestiscono integrazioni Google, è il momento di aggiornare checklist, librerie e modelli di threat analysis. Che cosa ha annunciato Google Il 15 ottobre 2026 Google ha comunicato che la sua piattaforma OAuth supporta DPoP per vincolare i refresh token