LinkedIn
Instagram
WhatsApp
Telegram
Gmail
Outlook
Google Agenda
Word lid van de Slack-gemeenschapGoogle OAuth Vernieuw TokenVervaldatum, 7-dagenlimiet & levensduur uitgelegd (2026)
Google OAuth-vernieuwingstokens gaan niet eeuwig mee. Begrijp elke vervalvoorwaarde - van de 7-daagse testvalkuil tot de 6-maanden inactiviteitsregel - en leer hoe u uw Gmail API-integratie in productie levend kunt houden.
importeer verzoekt
#: vervang het vernieuwingstoken door een nieuw toegangstoken
response = requests.post(
"https://oauth2.googleapis.com/token",
data={
"client_id": "UW_KLANT_ID",
"client_geheim": "UW_GEHEIM",
"vernieuwings_token": "1//0g...",
"grant_type": "vernieuwings_token"
}
)
token = respons.json()["toegangstoken"]Unipile slaat OAuth-tokens niet op in een parallel archief of maakt onafhankelijke gegevenskopieën buiten de geauthenticeerde sessie. Tokenopslag- en vernieuwingsbewerkingen zijn uitsluitend gekoppeld aan de sessie van elke gebruiker. geverifieerde gebruiker die expliciet toegang heeft verleend. Geen tokendata wordt gedeeld tussen accounts of bewaard buiten het door de gebruiker gedefinieerde autorisatiebereik.
Unipile fungeert als een onafhankelijke technische tussenpersoon, Gmail API en OAuth-tokenbewerkingen uitvoeren namens iedere geauthenticeerde gebruiker die afzonderlijk toegang heeft verleend. Unipile is niet verbonden met, goedgekeurd door of gesponsord door Google. Er worden geen gedeelde inloggegevens gebruikt. Elke integratie is afhankelijk van de eigen Google OAuth-toestemming van de gebruiker, uitgegeven via hun eigen Google Cloud-project of via Unipile's CASA Tier 2 gecertificeerde OAuth-flow.
Unipile fungeert als tussenpersoon voor de API-limieten en quota-beperkingen van Google, zoals gedefinieerd door het beleid van Google. De frequentie van verzoeken, volumebeslissingen en gebruikspatronen blijven beslissing aan klantzijde. . Ontwikkelaars zijn verantwoordelijk voor het waarborgen dat hun integratie voldoet aan de Servicevoorwaarden van Google, inclusief beleid voor het afhandelen van OAuth-tokens en bereiken voor gegevens toegang. Unipile biedt infrastructuur - beleidsnaleving is de verantwoordelijkheid van elke ontwikkelaar.
Wat is een Google OAuth vernieuwingstoken?
Voordat we ingaan op vervalregels, is het nuttig om precies te begrijpen wat een Google OAuth vernieuwingstoken is, wat het doet en hoe het verschilt van een toegangstoken in de Google OAuth2-stroom.
A Google OAuth vernieuwingstoken is een langdurig credential dat is uitgegeven door de autorisatieserver van Google en waarmee uw toepassing nieuwe toegangstokens kan verkrijgen zonder dat de gebruiker opnieuw hoeft te authenticeren. In tegenstelling tot toegangstokens (die na 3.600 seconden verlopen), blijft een Google OAuth-vernieuwingstoken bestaan gedurende meerdere sessies - onderhevig aan specifieke vervalvoorwaarden - en wordt het pas uitgegeven wanneer de access_type=offline parameter is opgenomen in het autorisatieverzoek.
De geauthenticeerde gebruiker keurt de door uw app aangevraagde scopes goed op het toestemmingsscherm van Google. Met access_type=offline, Google geeft zowel een toegangstoken als een vernieuwingstoken uit.
Toegangstokens hebben een vaste TTL van 3.600 seconden. Zodra deze verlopen zijn, retourneert elke API-aanroep een 401 Unauthorized-fout. Je app moet de vernieuwingstoken inwisselen voor een nieuwe toegangstoken.
een POST naar https://oauth2.googleapis.com/token met grant_type=refresh_token geeft een nieuwe toegangstoken terug. De Google OAuth-verversingstoken zelf blijft geldig (tenzij een van de 6 vervoorwaarden voor verlopen optreedt).
access_type=offline moet ingesteld worden
ya29.
1//
Verlopen Google refresh tokens? De 6 voorwaarden
Ja, een Google OAuth-vernieuwingstoken kan verlopen - maar alleen onder specifieke omstandigheden. Het begrijpen van elk geval is cruciaal voor elke Gmail API integratie die onbeheerd moet draaien. Hier zijn alle zes scenario's voor het verlopen van Google OAuth-vernieuwings tokens die u in productie moet afhandelen.
| # | Conditie | Wanneer het afgaat | Ernst | Repareer |
|---|---|---|---|---|
| 1 | App in testmodus - 7 dagen limiet | OAuth-instelscherm is "Testen" en app is niet geverifieerd door Google | Kritiek | Publiceer de app of gebruik een interne Workspace-app |
| 2 | 6 maanden inactiviteit | Token is al 6 maanden niet gebruikt om een toegangstoken te verkrijgen | Medium | Implementeer keep-alive pings; gebruik token ten minste elke 6 maanden |
| 3 | Gebruiker wijzigt Google-wachtwoord | Wordt alleen toegepast op tokens met Gmail- of gevoelige mail scopes | Medium | OAuth-stroom opnieuw initialiseren; autorisatie opnieuw vragen |
| 4 | 50 vernieuwingstokens per client-gebruiker paar | Gebruiker autoriseert uw app meer dan 50 keer; oudste tokens stilzwijgend ingetrokken | Medium | Sla tokens server-side op; vraag nooit opnieuw tenzij het token ongeldig is |
| 5 | Gebruiker trekt expliciet toegang in | Gebruiker bezoekt Google Accountinstellingen en verwijdert uw app | Verwacht | Vangen ongeldige_verlening; opgeslagen token verwijderen; geef opnieuw toestemming |
| 6 | Gevoelig/beperkt bereik - app niet geverifieerd | App-verzoeken hebben beperkte bereiken zonder Google-verificatie te doorlopen | Kritiek | Voltooi Google OAuth-verificatie of verkleinen tot niet-gevoelige bereiken |
Kerninzicht: De limiet van 7 dagen (voorwaarde 1) is de meest voorkomende oorzaak van verbroken integraties tijdens de ontwikkeling. Dit geldt alleen wanneer de status van het OAuth-toestemmingsscherm van uw app "Testen" is en de app NIET is ingediend voor Google-verificatie. De Google OAuth verificatieproces is de permanente oplossing - maar het kost tijd. Zie sectie 3 voor snellere oplossingen.
De 7-dagen-testval: waarom het gebeurt, hoe je eruit komt
De 7-daagse vervaldatum van de Google OAuth refresh token is het meest storende probleem dat ontwikkelaars tegenkomen tijdens integratie. Het verrast teams: alles werkt tijdens de ontwikkeling, tokens stoppen met verversen precies 7 dagen later, en de foutmelding komt vaak dagen nadat de gebruiker de app heeft geautoriseerd.
Wanneer de status van het OAuth-toestemmingsscherm van een app is ingesteld op "Testen" in de Google Cloud Console, behandelt Google het als een niet-geverifieerde toepassing. Om gebruikers te beschermen, verloopt Google automatisch alle verlooftokens die zijn uitgegeven door niet-geverifieerde apps na precies 7 dagen. Dit beleid wordt gedocumenteerd in de OAuth 2.0-documentatie van Google en is van toepassing, ongeacht hoe vaak de gebruiker de app heeft geautoriseerd. De limiet is ook van toepassing op de 100 proefgebruikerslimiet voor apps in testmodus. Zodra een Google OAuth-vernieuwingstoken onder deze regel verloopt, retourneert elke poging om het te gebruiken ongeldige_verlening.
Wijzig de status van het OAuth-instemmingsscherm van uw app van "Testen" naar "Productie" in de Google Cloud Console. Voor apps die gevoelige of beperkte Gmail-scopes, je moet de volledige voltooien Google OAuth app-verificatieproces, inclusief een beveiligingsaudit. Eenmaal gepubliceerd, Het Google OAuth-verificatietoken heeft een levensduur van onbepaalde duur. (onder voorbehoud van de overige 5 voorwaarden).
Als uw app alleen wordt gebruikt binnen een Google Workspace organisatie, stel het OAuth-scherm voor toestemming in op gebruikerstype "Intern". Interne apps zijn niet onderworpen aan de 7-daagse vervaldatum of de limiet van 100 testgebruikers. Tokens die worden uitgegeven aan Workspace-gebruikers onder interne apps, verlopen niet op basis van de testmodusregel. Dit is de snelste route voor B2B SaaS-producten met Google Workspace-klanten.
Unipile opereert als een onafhankelijke technische tussenpersoon namens iedere geauthenticeerde gebruiker. Onze OAuth-flow is CASA Tier 2-gecertificeerd. U kunt direct testen met niet-verlopende tokens, terwijl uw eigen Google OAuth-verificatie is in behandeling, ga daarna over op Bring-Your-Own-Credentials (BYOC) zodra deze is goedgekeurd. Geen 7-daagse limiet tijdens je POC-fase.
Bouw vandaag nog uw Gmail-integratie met tokens die niet na 7 dagen verlopen. Unipile beheert de vernieuwing van tokens aan de serverzijde.
Google OAuth vernieuwingstoken levensduur in productie
Zodra je app is gepubliceerd en geverifieerd, wordt de levensduur van de Google OAuth refresh token effectief onbeperkt - maar met belangrijke kanttekeningen. De twee belangrijkste productieregels zijn de limiet van 50 tokens per client-gebruiker en de vervaldatum van 6 maanden inactiviteit.
Een Google OAuth refresh token verloopt als het niet is gebruikt om een nieuwe access token te verkrijgen gedurende 6 opeenvolgende maanden. "Gebruikt" betekent een succesvolle token refresh-oproep - geen API-oproep die is gemaakt met de resulterende access token. Sla refresh tokens op en plan periodieke stille refreshes om ze in leven te houden. Een maandelijks pingje om /token is voldoende.
Voor Google Workspace-apps met gebruikerstype "Intern" geldt geen 7-daagse vervaltermijn en geen verificatievereiste. Tokens blijven de 6 maanden inactiviteitsregel naleven en de 50-token limiet per client-gebruiker paar. Workspace-beheerders kunnen tokens ook organisatiebreed intrekken via de Admin Console, wat applicatie-level tokenbeheer overschrijft.
Google staat maximaal 50 vernieuwingstokens per OAuth-client-id + Google-gebruikersaccountcombinatie. Als uw app een nieuwe refresh token genereert (door de gebruiker opnieuw te vragen met toestemming) buiten deze limiet, ongeldig maakt Google in stilte het oudste token. Dit is een veelvoorkomende oorzaak van ongeldige_verlening fouten in productie wanneer teams gebruikers herhaaldelijk opnieuw autoriseren tijdens test- of opnieuw-onboardings-workflows. De oplossing is simpel: sla de refresh token aan de serverzijde op en vraag er nooit opnieuw om, tenzij de token daadwerkelijk ongeldig is.
Wat telt als het "gebruiken" van een Google OAuth2-vernieuwingstoken:
Telt als gebruik: POST naar https://oauth2.googleapis.com/token met grant_type=refresh_token dat retourneert een nieuwe toegangstoken
Telt NIET mee als gebruik: Gmail API-aanroepen maken met de huidige toegangstoken, zelfs miljoenen ervan
Telt NIET mee als gebruik: bellen tokeninfo of introspectie-eindpunten - alleen het tokenuitwisselings-eindpunt reset de inactiviteitstimer
Hoe vernieuw je een toegangstoken: curl, Node.js, Python
Wanneer je toegangstoken verloopt, moet je je Google OAuth-vernieuwingstoken inwisselen voor een nieuwe. Hier zijn productierijpe codevoorbeelden voor drie gangbare omgevingen. Alle drie maken gebruik van dezelfde Google OAuth-token-eindpunt.
# Een Google OAuth-toegangstoken vernieuwen met curl
krul -s -X POST \
"https://oauth2.googleapis.com/token" \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "client_id=JOUW_CLIENT_ID" \
-d "client_secret=JOUW_CLIENT_GEHEIM" \
-d "ververs_token=JOUW_VERVERSING_TOKEN" \
-d "grant_type=refresh_token"
#-antwoord: { "access_token": "ya29.XXX", "expires_in": 3600, "token_type": "Bearer" }importeer verzoekt
importeer json
def ververs_google_toegangstokenverversings_token: straal) -> straal:
"Ruil een Google OAuth refresh token in voor een nieuwe access token."
response = requests.post(
"https://oauth2.googleapis.com/token",
data={
"client_id": "UW_KLANT_ID",
"client_geheim": "JE_CLIENTGEHEIM",
"vernieuwings_token"vervangende_token,
"grant_type": "vernieuwings_token",
},
)
data = antwoord.json()
als "fout" in gegevens
verhogen WaardeError(f"Tokenvernieuwing mislukt: {data['error']} - {data.get('error_description')}")
return gegevens["toegangstoken"]// Vernieuw een Google OAuth toegangstoken - Node.js (fetch)
async function verversGoogleToegangstoken(vernieuwenToken) {
const param = nieuw URLSearchParams({
client_id: "UW_KLANT_ID",
client_geheim: "JE_CLIENTGEHEIM",
verversingstoken: verversingstoken,
grant_type: "vernieuwings_token",
});
const resultaat = wacht op fetch("https://oauth2.googleapis.com/token", {
method: "POST",
headers: { "Content-Type": "application/x-www-form-urlencoded" },
body: params.toString(),
});
const gegevens = wacht op res.json();
als (fout.gegevens) gooi nieuw Fout(`${data.error}: ${data.error_description}`);
return data.toegangstoken; // geldig voor 3600s
}Interactief testen: Gebruik de Google OAuth Playground om de refresh token flow te testen zonder code te schrijven. Hiermee kun je tokens verkrijgen, antwoorden inspecteren en de volledige Google OAuth2 refresh token levenscyclus debuggen in een browser UI.
ongeldige_toekenning: snelle handleiding
Wanneer een Google OAuth-vernieuwingstoken verlopen, ingetrokken of ongeldig is, retourneert het token-eindpunt een ongeldige_verlening Fout. Dit is het canonieke teken dat uw Google OAuth vernieuwingstoken niet langer bruikbaar is. Hier zijn de meest voorkomende oorzaken en hun directe oplossingen.
App is in de status "Testen". Token is na 7 dagen verlopen. Oplossing: app publiceren of overschakelen naar interne Workspace.
Token 6 maanden niet gebruikt. Oplossing: implementeer keep-alive vernieuwing; plan maandelijkse tokenwissel.
Gebruiker heeft te vaak toestemming gegeven; oudste token stilzwijgend ingetrokken. Oplossing: tokens aan serverzijde opslaan, nooit onnodig opnieuw vragen.
Gebruiker heeft je app verwijderd uit de instellingen van het Google-account. Oplossing: verwijder opgeslagen token; toon gebruiker opnieuw een autorisatieprompt.
Gebruiker heeft Google-wachtwoord gewijzigd terwijl uw app gevoelige Gmail-scopes heeft. Oplossing: vang fout af, vraag om herautorisatie.
client_id/geheim is ongeldig, of het token is uitgegeven door een andere app. Oplossing: controleer de gegevens; test met de OAuth Speeltuin.
Voor een volledige uitsplitsing van elke Google OAuth-foutcode met HTTP-status, oorzaaktabel en code-niveau oplossingen, zie de volledige Google OAuth fouten referentiegids.
Beheerde vernieuwingstokens met Unipile
Het bouwen en onderhouden van een robuuste Google OAuth refresh token levenscyclus is non-triviaal technisch werk. Unipile fungeert als een onafhankelijke technische tussenpersoon namens elke geauthenticeerde gebruiker, het afhandelen van tokenopslag, vernieuwingsplanning en foutherstel aan de serverzijde - zodat uw team functies levert in plaats van te debuggen ongeldige_verlening om 2 uur 's nachts.
Unipile slaat de refresh tokens van uw gebruikers versleuteld op aan de serverzijde en vernieuwt proactief access tokens voordat ze verlopen. Geen 401-fouten bereiken uw applicatie.
Unipile's eigen OAuth-applicatie heeft de CASA Tier 2 beveiligingsbeoordeling doorstaan. Tijdens uw PoC autoriseren uw gebruikers via de geverifieerde flow van Unipile – er geldt geen testlimiet van 7 dagen.
Wanneer uw eigen Google OAuth-verificatie is goedgekeurd, schakelt u over naar de BYOC-modus: uw gebruikers autoriseren via uw eigen geverifieerde Google-app, terwijl Unipile de infrastructuur voor het vernieuwen van tokens blijft beheren.
Unipile biedt een enkele Gmail API abstractielaag die ook Outlook (Microsoft 365 + Exchange Online) en IMAP dekt - elk met zijn eigen beheerde tokenlevenscyclus, zodat u nooit provider-specifieke vernieuwingslogica hoeft te implementeren.
POC met Unipile sleutel: Verbind uw eerste geauthenticeerde gebruikers onmiddellijk via Unipile's CASA Tier 2 flow. Geen 7-daagse vervaldatum. Volledige Gmail API-toegang via Unipile's uniforme endpoint.
Gelijktijdig certificeren: Dien je eigen Google-app in voor OAuth-verificatie terwijl je integratie in productie draait. Unipile ondersteunt dit parallelle traject.
Overstap naar BYOC: Zodra Google uw app heeft goedgekeurd, activeert u de Bring-Your-Own-Credentials-modus. De levensduur van uw Google OAuth-vernieuwingstoken wordt onbeperkt in productie. Unipile blijft de infrastructuur voor vernieuwingen beheren.
# E-mails weergeven via Unipile – vernieuwingstoken wordt serverzijde afgehandeld
importeer verzoekt
headers = {
"X-API-SLEUTEL": "UW_UNIPILE_API_SLEUTEL",
"accepteren": "application/json",
}
# account_id = ID van het gekoppelde account van de geauthenticeerde gebruiker
response = requests.get(
"https://api7.unipile.com:13046/api/v1/emails",
params={"account_id": "acc_XXXXXXXX"},
headers=headers,
)
Het # Google OAuth-vernieuwingstoken wordt automatisch vernieuwd door Unipile
emails = antwoord.json()["items"]Google OAuth Vernieuwingstoken - Veelgestelde Vragen
Veelgestelde vragen over de Google OAuth refresh token verval, levensduur en de Google OAuth2 refresh token levenscyclus.
Ja, onder 6 specifieke voorwaarden. De meest voorkomende is de 7-daagse testlimiet: als uw app de status "Testen" heeft in Google Cloud Console, vervallen alle vernieuwingstokens na 7 dagen. In productie met een geverifieerde app zijn tokens effectief permanent, tenzij: (1) 6 maanden niet gebruikt, (2) gebruiker de toegang intrekt, (3) wachtwoordwijziging met Gmail-scopes, (4) limiet van 50 tokens wordt overschreden, of (5) app verificatie verliest voor gevoelige scopes. Begrijpen Google OAuth-verificatie is de sleutel om onverwachte vervaldatum te vermijden.
Google OAuth-verstellingstokenlevensduur hangt af van de status van je app. In testmodus: 7 dagen maximum, ongeacht gebruik. In productie (geverifieerde app)geen vaste vervaldatum - tokens blijven onbeperkt geldig zolang ze minstens één keer per 6 maanden worden gebruikt, de limiet van 50 tokens niet wordt overschreden en de gebruiker de toegang niet heeft ingetrokken. Interne Google Workspace-apps hebben ook geen 7-daagse limiet.
De Google OAuth-vernieuwings token 7 dagen vervaltijd is van toepassing wanneer de status van uw OAuth-toestemmingsscherm in de Google Cloud Console "Testen" is. Google legt deze limiet op aan alle niet-geverifieerde applicaties als veiligheidsmaatregel. Het valt ook samen met de 100 testgebruikerslimiet. De oplossing is om je app te publiceren en de Google OAuth-verificatie te voltooien (voor productie) of de app naar "Intern" te zetten als deze alleen voor Workspace is.
Om te voorkomen dat de google oauth2 vernieuwingstoken vervalt wegens 6 maanden inactiviteit: plan een maandelijkse POST naar https://oauth2.googleapis.com/token met grant_type=refresh_token. Dit reset de inactiviteitsteller. Merk op dat het doen van Gmail API-aanroepen met de bestaande toegangstoken niet telt als "gebruik" van de refresh token - alleen de endpoint voor tokenuitwisseling reset de timer. Sla tokens aan de serverzijde op en vraag gebruikers nooit onnodig opnieuw om binnen de limiet van 50 tokens te blijven.
ongeldige_verlening betekent je google oauth vernieuwingstoken verlopen is getriggerd of de token is ongeldig. Hoofdoorzaken: token verlopen (7-daagse testlimiet of 6 maanden inactiviteit), gebruiker heeft de toegang ingetrokken in de instellingen van het Google-account, de limiet van 50 tokens per clientgebruiker is overschreden en deze token is vervangen, wachtwoordwijziging met Gmail-scopes, of niet-overeenkomende clientgegevens. Zie het volledige Google OAuth foutenhandleiding voor gedetailleerde herstelstappen per oorzaak.
Je kunt geen nieuwe Google OAuth-vernieuwingssleutel verkrijgen zonder tussenkomst van de gebruiker - dat is zo ontworpen. Vernieuwingssleutels worden alleen uitgegeven tijdens het autorisatieproces met toestemming van de gebruiker. Als je sleutel is verlopen of is ingetrokken, moet je de gebruiker opnieuw door het OAuth-proces leiden. Toevoegen toestemming forceren een nieuw toestemmingsscherm en geven een nieuwe token uit, maar tellen mee voor de limiet van 50 tokens. De beste aanpak is om verlenging in de eerste plaats te voorkomen: tokens veilig opslaan, keep-alive ververssingen implementeren en omgaan met ongeldige_verlening fouten gracieus af door herautorisatie alleen te vragen wanneer dat nodig is.
POST naar https://oauth2.googleapis.com/token met Content-Type: application/x-www-form-urlencoded en body-parameters: klant_id, cliënt_geheim, vernieuwingstokenen grant_type=refresh_token. De respons retourneert een nieuwe toegangstoken geldig voor 3.600 seconden. Als het antwoord bevat "fout": "invalid_grant", de Google API vernieuwingstoken is niet langer geldig en herautorisatie van de gebruiker is vereist. Zie de codevoorbeelden in sectie 5 voor implementaties in curl, Python en Node.js.
Nog steeds vragen over Google OAuth refresh tokens? Ons team staat klaar om te helpen.
NL 
EN 
FR 
ES 
DE 
IT 
BR 
PL 
TR