OAuth-fouten oplossen in Google Workspace

OAuth-fouten zijn een dagelijks terugkerend probleem in Google Workspace-omgevingen. Een medewerker probeert Slack, Salesforce of een AI-tool te koppelen en krijgt een foutmelding. Achter die foutmeldingen zit altijd een concrete reden, meestal in de admin console. Dit artikel beschrijft de vijf meest voorkomende OAuth-fouten in 2026 en hoe je ze stap voor stap oplost.

OAuth in Google Workspace: de basis

Bij OAuth krijgt een externe app toegang tot Workspace-data (mails, bestanden, agenda) zonder dat je je wachtwoord deelt. De app krijgt een token met specifieke scopes: alleen lezen, lezen en schrijven, of beperkt tot een deelgebied. Als beheerder bepaal jij welke apps en welke scopes toegestaan zijn via API-besturing.

Admin Console > Beveiliging > API-besturing > App-toegang beheren

Fout 1: Error 400 admin_policy_enforced

Dit is verreweg de meest voorkomende OAuth-fout in 2026 en betekent dat de beheerder de specifieke app heeft geblokkeerd of dat de instellingen nieuwe OAuth-grants beperken.

Oorzaak:

• De app staat op Beperkt of Geblokkeerd in API-besturing
• De app vraagt scopes aan die niet in de whitelist staan
• De standaardinstelling is Alleen vertrouwde apps toestaan en de app is niet vertrouwd

Oplossing:

Admin Console > Beveiliging > API-besturing > App-toegang beheren
Zoek de betreffende app op naam of OAuth-client-ID
Klik op de app > Wijzig toegang > Vertrouwen selecteren

Als je de app wilt toevoegen als vertrouwd:

App-toegang beheren > Google Services beheren / Andere services
Vertrouwd: Ja
Scopes: selecteer alleen de scopes die nodig zijn

Tip: Behandel dit niet automatisch als een te fixen fout. Vaak is de melding het systeem dat werkt zoals bedoeld: een medewerker probeert een niet-goedgekeurde app te koppelen en jouw beleid voorkomt dat. Check eerst waarom de app nodig is voordat je hem goedkeurt.

Fout 2: Error 400 invalid_request

Oorzaak: de app stuurt een technisch ongeldig OAuth-verzoek. De oorzaak ligt bij de developer van de app, niet bij Workspace.

Oplossing:

• Controleer of de app een up-to-date versie is
• Controleer in de app-instellingen of de OAuth-redirect URL correct is
• Controleer of de client-ID en client-secret van de app recent zijn gedraaid
• Neem contact op met de support van de externe app

Als beheerder kun je op Workspace-kant niks doen; dit moet door de app-developer worden opgelost.

Fout 3: Error 403 access_denied

Oorzaak: de gebruiker of beheerder heeft toegang geweigerd tijdens de OAuth-flow, OF de gebruiker heeft onvoldoende rechten voor de gevraagde scopes.

Oplossing: Loop met de gebruiker de OAuth-flow opnieuw door en let op welk scherm de "Weigeren" knop kreeg. Als het de eerste consent-pop-up was: de gebruiker moet opnieuw proberen en "Toestaan" kiezen.

Als de melding komt van een admin-blokkering:

Admin Console > Beveiliging > API-besturing > App-toegang beheren
Controleer of de app op Beperkt staat voor deze OU

Fout 4: Error 401 invalid_grant of Token has been expired/revoked

Oorzaak: het OAuth-token is niet meer geldig. Dit gebeurt in vier scenarios:

• Gebruiker heeft het token handmatig ingetrokken
• Wachtwoord van de gebruiker is gewijzigd
• Beheerder heeft de app geblokkeerd
• De app heeft 6 maanden geen refresh uitgevoerd (automatische expiratie)

Oplossing: De gebruiker moet opnieuw inloggen en toestemming geven. Verwijder eerst het oude token:

Gebruiker > Google Account > Beveiliging > Apps van derden met accounttoegang
Zoek de app > Verwijderen
Koppel de app opnieuw via de app zelf

Fout 5: Error 400 disallowed_useragent

Oorzaak: de app gebruikt een embedded web-view in plaats van de systeem-browser. Google blokkeert dit sinds 2020 voor veiligheid (phishing-risico).

Oplossing: Dit is een probleem van de app-developer. Bij interne apps: update naar de nieuwste OAuth-library en gebruik de AppAuth-bibliotheek van Google. Bij externe apps: update de app of neem contact op met support.

Proactief: OAuth-hygiene in 2026

Sinds de Vercel-breach van 2026 raden wij alle Nederlandse organisaties aan om OAuth-hygiene maandelijks te reviewen:

Maandelijkse OAuth-audit:

Admin Console > Beveiliging > API-besturing > App-toegang beheren > Gekoppelde apps
Sorteer op: Laatst gebruikt
Acties: apps die 90+ dagen niet gebruikt zijn > Blokkeren of Verwijderen

Alert Center-regel instellen:

Admin Console > Beveiliging > Alert Center > Regels
Trigger: Een app krijgt toegang tot gevoelige scopes (Gmail.readonly, Drive.readonly)
Actie: E-mailnotificatie naar IT-security

Logboeken voor OAuth-diagnose

Bij iedere OAuth-fout wil je zien wat er precies gebeurd is:

Admin Console > Rapporten > Audit > Token
Filter: OAuth authorize / revoke

Dit geeft per gebruiker, per app en per tijdstip terug welke OAuth-events plaatsvonden. Cruciaal bij forensisch onderzoek na een verdacht login-incident.