Verificación del cliente de OAuth

Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

Los clientes de OAuth de Google que solicitan ciertos alcances sensibles de OAuth están sujetos a la verificación de Google.

Si no verificas el cliente de OAuth de tu proyecto de secuencia de comandos, los usuarios fuera de tu dominio verán una pantalla de app no verificada cuando intenten autorizar tu secuencia de comandos. Un flujo de autorización sin verificar permite a estos usuarios autorizar apps no verificadas y usarlas, pero solo después de confirmar que comprenden los riesgos. También se limita la cantidad total de usuarios de apps no verificados.

Para obtener más información, consulta los siguientes artículos:

 

Pantalla de app no verificada
Figura 1: Pantalla de app no verificada
Flujo de autorización de apps no verificadas
Figura 2: Flujo de autorización de apps no verificadas

 

Este cambio se aplica a los clientes web de Google OAuth, incluidos los que usan todos los proyectos de Apps Script. Si verificas tu app con Google, podrás quitar la pantalla de la app no verificada del flujo de autorización y darles la confianza de que la app no es maliciosas.

Apps sin verificar

Es posible que debas verificar los complementos, las aplicaciones web y otras implementaciones (como las que usan la API de Apps Script).

Aplicabilidad

Si la app usa alcances sensibles de OAuth, la pantalla de la app sin verificar puede aparecer como parte del flujo de autorización. Su presencia (y el flujo de autorización de apps no verificado resultante) depende de la cuenta en la que se publica la app y de la cuenta que intenta usarla. Por ejemplo, las apps publicadas en una organización específica de Google Workspace no generan el flujo de autorización de apps no verificadas para las cuentas de ese dominio, incluso si no se verificó la app.

En la siguiente tabla, se ilustran las situaciones que generan el flujo de autorización de apps no verificadas:

El cliente está verificado El publicador es una cuenta de Google Workspace del cliente A La secuencia de comandos se encuentra en una unidad compartida del cliente A El editor es una cuenta de Gmail.
El usuario es una cuenta de Google Workspace del cliente A. Flujo de autenticación normal Flujo de autenticación normal Flujo de autenticación normal Flujo de autenticación no verificado
El usuario es una cuenta de Google Workspace no del cliente A. Flujo de autenticación normal Flujo de autenticación no verificado Flujo de autenticación no verificado Flujo de autenticación no verificado
El usuario es una cuenta de Gmail.1 Flujo de autenticación normal Flujo de autenticación no verificado Flujo de autenticación no verificado Flujo de autenticación no verificado

1Cualquier cuenta de Gmail, incluida la cuenta que se usó para publicar la app

Límite de usuarios

La cantidad de usuarios que pueden autorizar una app mediante el flujo no verificado se limita a un posible abuso. Consulta Límites de usuarios de las aplicaciones de OAuth para obtener más detalles.

Cómo solicitar la verificación

Puedes solicitar una verificación del cliente de OAuth que usa tu aplicación y su proyecto de Cloud Platform (GCP) asociado. Una vez que se verifique la app, los usuarios ya no verán la pantalla de la app sin verificar. Además, tu app ya no estará sujeta al límite de usuarios.

Requisitos

A fin de enviar tu cliente de OAuth para la verificación, debes cumplir con los siguientes requisitos:

  1. Debe ser el propietario de un sitio web en un dominio. El sitio debe alojar páginas de acceso público que describan tu app y su política de privacidad. También debes verificar la propiedad del sitio con Google.

  2. El proyecto de GCP que usa el proyecto de secuencia de comandos debe ser un proyecto de GCP estándar para el que tengas acceso de edición. Si tu secuencia de comandos usa su proyecto de GCP predeterminado, debes cambiar a un proyecto de GCP estándar.

Además, debes tener los siguientes elementos obligatorios:

  • Nombre de la aplicación. El nombre de la app (aparece en la pantalla de consentimiento) Debe coincidir con el nombre que se usa para la aplicación en otras ubicaciones, como la lista de Google Workspace Marketplace para las aplicaciones publicadas.
  • Logotipo de la aplicación. Una imagen JPEG, PNG o BMP del logotipo de la app que se usará en la pantalla de consentimiento. Su tamaño de archivo debe ser de 1 MB o menos.
  • Correo electrónico de asistencia. Este es un correo electrónico que se muestra en la pantalla de consentimiento para que los usuarios se comuniquen con ellos si necesitan asistencia con la app. Puede ser tu dirección de correo electrónico o un Grupo de Google que administres o del que seas propietario.
  • Alcances. La lista de todos los alcances que usa tu app. Puedes ver tus alcances en el editor de Apps Script.
  • Dominios autorizados. Esta es una lista de dominios que contienen información sobre tu app. Todos los vínculos de tu aplicación (como la página de la política de privacidad requerida) deben estar alojados en dominios autorizados.
  • URL de la página principal de la aplicación. La ubicación de una página principal que describe tu app. Esta ubicación debe estar alojada en un dominio autorizado.
  • URL de la Política de Privacidad de la aplicación. La ubicación de una página que describe la política de privacidad de tu app Esta ubicación debe estar alojada en un dominio autorizado.

Además de los elementos obligatorios mencionados anteriormente, puedes proporcionar una URL de las Condiciones del Servicio de la aplicación que dirija a una página que describa las Condiciones del Servicio de tu app. Si se proporciona, esta ubicación debe estar en un dominio autorizado.

Pasos

  1. Si aún no lo hiciste, verifica la propiedad de todos los dominios autorizados que usas para alojar la política de privacidad del proyecto de secuencia de comandos y otra información. Los propietarios verificados de los dominios deben ser editores o el propietario del proyecto de secuencia de comandos.
  2. En el proyecto de Apps Script, a la izquierda, haz clic en Descripción general . En Alcances del proyecto OAuth, copia todos los alcances que use tu proyecto de secuencia de comandos.
  3. Completa la pantalla de consentimiento de OAuth del proyecto de GCP de tu aplicación con los elementos de texto y URL que recopilaste. 1. Asegúrate de enumerar todos los dominios autorizados en los que se aloja la información de la app (como su política de privacidad). 1. Para agregar el alcance de la aplicación, haz clic en el botón Agregar alcance. El diálogo resultante intenta detectar de forma automática los alcances de las API que habilitaste en Cloud Platform (como los servicios avanzados). Puedes seleccionar los permisos de esta lista si marcas las casillas de verificación correspondientes.

       This autodetected list doesn't always include scopes used by
       Apps Script [built-in services](/apps-script/guides/services/).
       You must enter these scopes manually by clicking the **manually paste**
       link and then entering the scopes in the resulting checkbox.
    
       When you are done selecting or entering scopes, click **Add**.
    
  4. Una vez que hayas ingresado toda la información necesaria, haz clic en Guardar.

  5. Haga clic en Enviar para verificación a fin de iniciar una solicitud de verificación.

La mayoría de las solicitudes de verificación reciben una respuesta en el transcurso de 24 a 72 horas. Puedes verificar el Estado de verificación en la parte superior del formulario de la pantalla de consentimiento de OAuth. Cuando se confirma la verificación de tu cliente de OAuth, se verifica tu app.