Cette page a été traduite par l'API Cloud Translation.

Validation des clients OAuth

Les clients Google OAuth qui demandent certains champs d'application OAuth sensibles sont soumis à une validation par Google.

Si vous ne validez pas le client OAuth de votre projet de script, les utilisateurs extérieurs à votre domaine voient un écran d'application non validée lorsqu'ils tentent d'autoriser votre script. Un flux d'autorisation non validé permet à ces utilisateurs d'autoriser des applications non validées et de les utiliser, mais seulement après avoir confirmé qu'ils comprennent les risques. Le nombre total d'utilisateurs de l'application non validés est également limité.

Pour en savoir plus, consultez les articles suivants :

**Figure 1**: Écran "Application non validée"

Flux d'autorisation d'application non validée — **Figure 2**: Flux d'autorisation pour une application non validée

Cette modification s'applique aux clients Web Google OAuth, y compris ceux utilisés par tous les projets Apps Script. En validant votre application auprès de Google, vous pouvez supprimer l'écran de l'application non validée de votre flux d'autorisation et rassurer vos utilisateurs que votre application n'est pas malveillante.

Applications non validées

Les modules complémentaires, les applications Web et d'autres déploiements (tels que les applications qui utilisent l'API Apps Script) peuvent nécessiter une validation.

Applicabilité

Si l'application utilise des champs d'application OAuth sensibles, l'écran de l'application non validée peut s'afficher dans le cadre du flux d'autorisation. Sa présence (et le flux d'autorisation d'application non validé qui en résulte) dépend du compte à partir duquel l'application est publiée et du compte qui tente de l'utiliser. Par exemple, les applications publiées dans une organisation Google Workspace spécifique n'entraînent pas le flux d'autorisation d'application non validée pour les comptes de ce domaine, même si l'application n'a pas été validée.

Le tableau suivant illustre les situations qui entraînent le flux d'autorisation d'application non validée:

	Client validé	L'éditeur est un compte Google Workspace du client A	Le script se trouve dans le Drive partagé du client A.	L'éditeur est un compte Gmail
L'utilisateur est un compte Google Workspace du client A.	Flux d'authentification normal	Flux d'authentification normal	Flux d'authentification normal	*Flux d'authentification non validé*
L'utilisateur est un compte Google Workspace non associé au client A.	Flux d'authentification normal	*Flux d'authentification non validé*	*Flux d'authentification non validé*	*Flux d'authentification non validé*
L'utilisateur est un compte Gmail¹	Flux d'authentification normal	*Flux d'authentification non validé*	*Flux d'authentification non validé*	*Flux d'authentification non validé*

¹ Tout compte Gmail, y compris le compte utilisé pour publier l'application.

Limite d'utilisateurs

Le nombre d'utilisateurs pouvant autoriser une application via le parcours d'application non validé est limité afin de limiter les éventuels abus. Pour en savoir plus, consultez les limites d'utilisateurs concernant les applications OAuth.

Demande de validation

Vous pouvez demander la validation du client OAuth utilisé par votre application et le projet Cloud Platform (GCP) associé. Une fois votre application validée, vos utilisateurs ne verront plus l'écran "Application non validée". En outre, votre application ne sera plus soumise à la limite d'utilisateurs.

Conditions requises

Pour demander la validation de votre client OAuth, vous devez remplir les conditions suivantes:

Vous devez posséder un site Web sur un domaine. Le site doit héberger des pages accessibles au public qui décrivent votre application et ses règles de confidentialité. Vous devez également confirmer que vous êtes le propriétaire du site auprès de Google.

Remarque :Vous n'avez pas besoin de publier votre application à partir d'un compte de ce domaine, mais le propriétaire du domaine doit être éditeur ou propriétaire du projet de script.
Le projet Google Cloud utilisé par votre projet de script doit être un projet Google Cloud standard pour lequel vous disposez d'un accès en modification. Si votre script utilise son projet Google Cloud par défaut, vous devez basculer vers un projet Google Cloud standard.

De plus, vous devez disposer des composants obligatoires suivants:

Nom de l'application : Nom de l'application, qui s'affiche sur l'écran de consentement. Il doit correspondre au nom utilisé pour l'application dans les autres emplacements, tels que la fiche Google Workspace Marketplace des applications publiées.
Logo de l'application : Image JPEG, PNG ou BMP du logo d'application à utiliser dans l'écran de consentement. La taille du fichier ne doit pas dépasser 1 Mo.
Adresse e-mail d'assistance. Il s'agit d'une adresse e-mail affichée sur l'écran de consentement que les utilisateurs peuvent contacter s'ils ont besoin de la prise en charge de l'application. Il peut s'agir de votre adresse e-mail ou d'un groupe Google que vous possédez ou gérez.
Champs d'application : Liste de tous les champs d'application utilisés par votre application. Vous pouvez afficher vos champs d'application dans l'éditeur Apps Script.
Domaines autorisés : Il s'agit d'une liste de domaines contenant des informations sur votre application. Tous les liens associés à votre application (tels que la page des règles de confidentialité requises) doivent être hébergés sur des domaines autorisés.
URL de la page d'accueil de l'application : Emplacement d'une page d'accueil décrivant votre application. Cet emplacement doit être hébergé sur un domaine autorisé.
URL des règles de confidentialité de l'application. Emplacement d'une page décrivant les règles de confidentialité de votre application. Cet établissement doit être hébergé sur un domaine autorisé.

En plus des éléments obligatoires ci-dessus, vous pouvez éventuellement fournir une URL des conditions d'utilisation de l'application qui redirige vers une page décrivant les conditions d'utilisation de votre application. Si cet emplacement est fourni, il doit se trouver dans un domaine autorisé.

Étapes

Si vous ne l'avez pas déjà fait, validez la propriété de tous les domaines autorisés que vous utilisez pour héberger les règles de confidentialité de votre projet de script et d'autres informations. Les propriétaires confirmés des domaines doivent être des éditeurs ou le propriétaire du projet de script.
Dans le projet Apps Script, cliquez sur Overview (Aperçu) . Sous Champs d'application OAuth du projet, copiez les champs d'application utilisés par votre projet de script.
Remplissez l'écran de consentement OAuth pour le projet Google Cloud de votre application à l'aide des composants texte et URL que vous avez collectés.
1. Répertoriez les domaines autorisés sur lesquels sont hébergées les informations de votre application (telles que ses règles de confidentialité).
2. Pour ajouter les champs d'application de votre application, cliquez sur Ajouter ou supprimer des champs d'application. La boîte de dialogue qui s'affiche tente de détecter automatiquement les champs d'application des API que vous avez activées dans la console Google Cloud (tels que les services avancés). Vous pouvez sélectionner les niveaux d'accès dans cette liste en cochant les cases correspondantes.
  
  Cette liste détectée automatiquement n'inclut pas toujours les champs d'application utilisés par les services intégrés Apps Script. Vous devez les saisir sous Ajouter manuellement des champs d'application.
  
  Lorsque vous avez terminé, cliquez sur Mettre à jour.
Une fois que vous avez saisi toutes les informations requises, cliquez sur Enregistrer.
Cliquez sur Envoyer pour validation pour lancer une demande de validation.

La plupart des demandes de validation reçoivent une réponse sous 24 à 72 heures. Vous pouvez vérifier l'état de validation en haut du formulaire de l'écran de consentement OAuth. Une fois la validation de votre client OAuth confirmée, votre application est validée.