Verificación del cliente de OAuth

Los clientes de OAuth de Google que solicitan ciertos permisos sensibles de OAuth están sujetos a verificación por parte de Google.

Si no verificas el cliente de OAuth del proyecto de secuencia de comandos, los usuarios fuera de tu dominio verán una pantalla de app no verificada cuando intenten autorizar tu secuencia de comandos. Un flujo de autorización no verificado les permite a estos usuarios autorizar apps no verificadas y usarlas, pero solo después de confirmar que comprenden los riesgos. También se limita la cantidad total de usuarios de la app no verificados.

Para obtener más información, consulta los siguientes artículos:

 

Pantalla de la app sin verificar
Figura 1: Pantalla de la app no verificada
Flujo de autorización de apps sin verificar
Figura 2: Flujo de autorización de apps sin verificar

 

Este cambio se aplica a los clientes web de OAuth de Google, incluidos los que usan todos los proyectos de Apps Script. Si verificas tu app con Google, puedes quitar la pantalla de la app no verificada del flujo de autorización y brindar a los usuarios la confianza de que la app no es maliciosa.

Apps sin verificar

Es posible que los complementos, las aplicaciones web y otras implementaciones (como las aplicaciones que usan la API de Apps Script) necesiten verificación.

Aplicabilidad

Si la app usa permisos sensibles de OAuth, es posible que la pantalla de la app sin verificar aparezca como parte del flujo de autorización. Su presencia (y el flujo de autorización de la app sin verificar resultante) depende de qué cuenta se publica y de qué cuenta intenta usarla. Por ejemplo, las apps publicadas en una organización específica de Google Workspace no generan el flujo de autorización de apps no verificada para las cuentas de ese dominio, incluso si la app no se verificó.

En la siguiente tabla, se ilustran las situaciones que generan el flujo de autorización de apps sin verificar:

Se verificó el cliente El publicador es una cuenta de Google Workspace del cliente A La secuencia de comandos está en una unidad compartida del cliente A El publicador es una cuenta de Gmail
El usuario es una cuenta de Google Workspace del cliente A Flujo de autenticación normal Flujo de autenticación normal Flujo de autenticación normal Flujo de autenticación sin verificar
El usuario es una cuenta de Google Workspace no del cliente A. Flujo de autenticación normal Flujo de autenticación sin verificar Flujo de autenticación sin verificar Flujo de autenticación sin verificar
El usuario es una cuenta de Gmail1 Flujo de autenticación normal Flujo de autenticación sin verificar Flujo de autenticación sin verificar Flujo de autenticación sin verificar

1 Cualquier cuenta de Gmail, incluida la cuenta que se usó para publicar la app

Límite de usuarios

Se limita la cantidad de usuarios que pueden autorizar una app mediante el flujo de apps sin verificar para limitar el posible abuso. Consulta Límites de usuarios de la aplicación OAuth para obtener más información.

Solicitando la verificación

Puedes solicitar una verificación del cliente de OAuth que usa tu app y su proyecto de Cloud Platform (GCP) asociado. Una vez que se verifique la app, los usuarios ya no verán la pantalla de la app no verificada. Además, tu app ya no estará sujeta al límite de usuarios.

Requisitos

Si deseas enviar tu cliente de OAuth para la verificación, debes cumplir con los siguientes requisitos:

  1. Debes ser el propietario de un sitio web en un dominio. El sitio debe alojar páginas de acceso público que describan la app y su política de privacidad. Además, debes verificar con Google la propiedad del sitio.

  2. El proyecto de Google Cloud que usa tu proyecto de secuencia de comandos debe ser un proyecto estándar de Google Cloud para el que tengas acceso de edición. Si tu secuencia de comandos usa su proyecto predeterminado de Google Cloud, debes cambiar a un proyecto estándar de Google Cloud.

Además, debes contar con los siguientes elementos obligatorios:

  • Nombre de la aplicación. Es el nombre de la app, que se muestra en la pantalla de consentimiento. Debe coincidir con el nombre que se usa para la app en otras ubicaciones, como las fichas de Google Workspace Marketplace de las apps publicadas.
  • Logotipo de la aplicación. Una imagen JPEG, PNG o BMP del logotipo de la app para usar en la pantalla de consentimiento El tamaño del archivo debe ser de 1 MB como máximo.
  • Correo electrónico de asistencia. Este es un correo electrónico que se muestra en la pantalla de consentimiento para que los usuarios se comuniquen si necesitan asistencia de la app. Puede ser tu dirección de correo electrónico o un Grupo de Google que administres o del que seas el propietario.
  • Alcances. La lista de todos los alcances que usa tu app. Puedes ver tus permisos en el editor de Apps Script.
  • Dominios autorizados: Esta es una lista de dominios que contienen información sobre tu app. Todos los vínculos de tu aplicación (como la página de la política de privacidad requerida) deben estar alojados en dominios autorizados.
  • URL de la página principal de la aplicación. Es la ubicación de la página principal en la que se describe tu app. Esta ubicación debe estar alojada en un dominio autorizado.
  • URL de la Política de Privacidad de la aplicación. Es la ubicación de la página en la que se describe la política de privacidad de la app. Esta ubicación debe estar alojada en un dominio autorizado.

Además de los elementos requeridos anteriormente, puedes proporcionar de manera opcional una URL de las Condiciones del Servicio de la aplicación que dirija a una página en la que se describan las Condiciones del Servicio de la app. Si se proporciona, esta ubicación debe estar en un dominio autorizado.

Pasos

  1. Si aún no lo has hecho, verifica la propiedad de todos los dominios autorizados que usas para alojar la política de privacidad y otra información del proyecto de secuencia de comandos. Los propietarios verificados de los dominios deben ser editores o propietarios del proyecto de secuencia de comandos.
  2. En el proyecto de Apps Script, haz clic en Descripción general . En Permisos de OAuth del proyecto, copia los permisos que usa tu proyecto de secuencia de comandos.
  3. Completa la pantalla de consentimiento de OAuth para el proyecto de Google Cloud de tu aplicación con los recursos de texto y URL que recopilaste.

    1. Enumera los dominios autorizados en los que se aloja la información de tu app (como su política de privacidad).
    2. Para agregar los alcances de la aplicación, haz clic en Agregar o quitar permisos. El diálogo resultante intenta detectar automáticamente los permisos de las APIs que habilitaste en la consola de Google Cloud (como los servicios avanzados). Para seleccionar permisos de esta lista, marca las casillas correspondientes.

      Esta lista detectada automáticamente no siempre incluye los permisos que usan los servicios integrados de Apps Script. Debes ingresar estos permisos en Agregar permisos de forma manual.

      Cuando hayas terminado, haz clic en Actualizar.

  4. Cuando hayas ingresado toda la información requerida, haz clic en Guardar.

  5. Haz clic en Enviar para verificación para iniciar una solicitud de verificación.

La mayoría de las solicitudes de verificación reciben una respuesta en un plazo de 24 a 72 horas. Puedes consultar el Estado de verificación en la parte superior del formulario de la pantalla de consentimiento de OAuth. Cuando se confirma la verificación de tu cliente de OAuth, se verifica la app.