Verifikasi Klien OAuth

Klien Google OAuth yang meminta cakupan OAuth sensitif tertentu harus diverifikasi oleh Google.

Catatan: Verifikasi tidak diperlukan untuk project Apps Script yang pemilik dan penggunanya termasuk dalam domain atau pelanggan Google Workspace yang sama.

Jika Anda tidak memverifikasi klien OAuth project skrip, pengguna di luar domain Anda akan melihat layar aplikasi yang belum diverifikasi saat mereka mencoba memberi otorisasi pada skrip Anda. Alur otorisasi yang belum diverifikasi memungkinkan pengguna tersebut memberi otorisasi pada aplikasi yang belum diverifikasi dan menggunakannya, tetapi hanya setelah mengonfirmasi bahwa mereka memahami risikonya. Jumlah total pengguna aplikasi yang belum diverifikasi juga dibatasi.

Untuk informasi selengkapnya, lihat artikel berikut:

• Aplikasi yang Belum Terverifikasi
• FAQ Verifikasi Aplikasi OAuth
• Layanan Google API: Kebijakan Data Pengguna

 

Gambar 1: Layar aplikasi belum terverifikasi

Gambar 2: Alur otorisasi aplikasi yang belum diverifikasi

 

Perubahan ini berlaku untuk klien web Google OAuth, termasuk yang digunakan oleh semua project Apps Script. Dengan memverifikasi aplikasi dengan Google, Anda dapat menghapus layar aplikasi yang belum diverifikasi dari alur otorisasi dan memberikan keyakinan kepada pengguna bahwa aplikasi Anda tidak berbahaya.

Aplikasi yang belum diverifikasi

Add-on, aplikasi web, dan deployment lainnya (seperti aplikasi yang menggunakan Apps Script API) mungkin memerlukan verifikasi.

Catatan: Add-on tidak lagi diverifikasi sebagai bagian dari proses peninjauan add-on, dan harus diverifikasi sebelum memublikasikan add-on.

Penerapan

Jika aplikasi menggunakan cakupan OAuth yang sensitif, layar aplikasi yang belum diverifikasi dapat muncul sebagai bagian dari alur otorisasi. Keberadaannya (dan hasil alur otorisasi aplikasi yang tidak terverifikasi) bergantung pada akun tempat aplikasi dipublikasikan dan akun mana yang mencoba menggunakan aplikasi tersebut. Misalnya, aplikasi yang dipublikasikan di organisasi Google Workspace tertentu tidak mengakibatkan alur otorisasi aplikasi yang tidak diverifikasi untuk akun di domain tersebut, meskipun aplikasi belum diverifikasi.

Tabel berikut mengilustrasikan situasi yang menyebabkan alur otorisasi aplikasi yang tidak diverifikasi:

	Klien telah diverifikasi	Penayang adalah akun Google Workspace pelanggan A	Skrip berada di drive bersama pelanggan A	Penayang adalah akun Gmail
Pengguna adalah akun Google Workspace pelanggan A	Alur autentikasi normal	Alur autentikasi normal	Alur autentikasi normal	Alur autentikasi belum terverifikasi
Pengguna adalah akun Google Workspace bukan pelanggan A	Alur autentikasi normal	Alur autentikasi belum terverifikasi	Alur autentikasi belum terverifikasi	Alur autentikasi belum terverifikasi
Pengguna adalah akun Gmail^1	Alur autentikasi normal	Alur autentikasi belum terverifikasi	Alur autentikasi belum terverifikasi	Alur autentikasi belum terverifikasi

¹Akun Gmail apa pun, termasuk akun yang digunakan untuk memublikasikan aplikasi.

Batas pengguna

Jumlah pengguna yang dapat memberi otorisasi aplikasi melalui alur aplikasi yang tidak diverifikasi dibatasi untuk membatasi kemungkinan penyalahgunaan. Lihat Batas pengguna aplikasi OAuth untuk mengetahui detailnya.

Meminta verifikasi

Anda dapat meminta verifikasi klien OAuth yang digunakan oleh aplikasi Anda dan project Cloud Platform (GCP) terkait. Setelah aplikasi diverifikasi, pengguna tidak akan lagi melihat layar aplikasi yang belum diverifikasi. Selain itu, aplikasi Anda tidak akan lagi tunduk pada batas pengguna.

Persyaratan

Agar dapat mengirimkan klien OAuth untuk verifikasi, Anda harus memenuhi persyaratan berikut:

1. Anda harus memiliki situs web di domain. Situs harus menghosting halaman yang dapat diakses secara publik, yang mendeskripsikan aplikasi Anda beserta kebijakan privasinya. Anda juga harus memverifikasi kepemilikan situs Anda dengan Google.

   Catatan: Anda tidak perlu memublikasikan aplikasi dari akun di domain ini, tetapi pemilik domain harus merupakan editor atau pemilik project skrip.

2. Project Google Cloud yang digunakan project skrip Anda harus berupa project Google Cloud standar yang akses editnya Anda miliki. Jika skrip Anda menggunakan project Google Cloud default, Anda harus beralih ke project Google Cloud standar.

Selain itu, Anda harus memiliki aset wajib berikut:

• Nama aplikasi. Nama aplikasi; hal ini ditampilkan di layar izin. Nama ini harus sama dengan nama yang digunakan untuk aplikasi di lokasi lain, seperti listingan Google Workspace Marketplace untuk aplikasi yang dipublikasikan.
• Logo aplikasi. Logo aplikasi JPEG, PNG, atau gambar BMP untuk digunakan di layar izin. Ukuran filenya harus 1 MB atau kurang.
• Email dukungan. Email ini adalah email yang ditampilkan di layar izin yang dapat dihubungi pengguna jika mereka membutuhkan dukungan aplikasi. Ini bisa berupa alamat email Anda atau Google Grup yang Anda miliki atau kelola.
• Cakupan. Daftar semua cakupan yang digunakan aplikasi Anda. Anda dapat melihat cakupan di editor Apps Script.
• Domain yang diotorisasi. Ini adalah daftar domain yang berisi informasi tentang aplikasi Anda. Semua link aplikasi Anda (seperti halaman kebijakan privasi yang diperlukan) harus dihosting di domain yang diizinkan.
• URL halaman beranda aplikasi. Lokasi halaman beranda yang mendeskripsikan aplikasi Anda. Lokasi ini harus dihosting di domain yang diotorisasi.
• URL kebijakan privasi aplikasi. Lokasi halaman yang menjelaskan kebijakan privasi aplikasi Anda. Lokasi ini harus dihosting pada domain yang diotorisasi.

Selain aset wajib di atas, secara opsional, Anda dapat memberikan URL persyaratan layanan aplikasi yang mengarah ke halaman yang menjelaskan persyaratan layanan aplikasi Anda. Jika diberikan, lokasi ini harus berada dalam domain yang diotorisasi.

Langkah

1. Jika Anda belum melakukannya, verifikasi kepemilikan semua domain yang diotorisasi yang Anda gunakan untuk menghosting kebijakan privasi project skrip dan informasi lainnya. Pemilik domain terverifikasi harus merupakan editor atau pemilik project skrip.
2. Dalam project Apps Script, klik Overview . Pada Cakupan OAuth Project, salin cakupan yang digunakan project skrip Anda.

3. Lengkapi layar izin OAuth untuk project Google Cloud aplikasi Anda menggunakan aset teks dan URL yang Anda kumpulkan.

   1. Cantumkan Domain yang diotorisasi tempat informasi aplikasi Anda (seperti kebijakan privasinya) dihosting.

   2. Untuk menambahkan cakupan aplikasi, klik Tambahkan atau Hapus Cakupan. Dialog yang dihasilkan akan mencoba mendeteksi otomatis cakupan untuk API yang telah Anda aktifkan di Konsol Google Cloud (seperti layanan lanjutan). Anda dapat memilih cakupan dari daftar ini dengan mencentang kotak yang sesuai.

      Daftar yang terdeteksi otomatis ini tidak selalu menyertakan cakupan yang digunakan oleh layanan bawaan Apps Script. Anda harus memasukkan cakupan ini di bagian Tambahkan cakupan secara manual.

      Setelah selesai, klik Perbarui.

4. Jika Anda sudah memasukkan semua informasi yang diperlukan, klik Simpan.

5. Klik Kirim untuk verifikasi untuk memulai permintaan verifikasi.

Sebagian besar permintaan verifikasi menerima respons dalam waktu 24 hingga 72 jam. Anda dapat memeriksa Status verifikasi di bagian atas formulir layar izin OAuth. Setelah verifikasi klien OAuth dikonfirmasi, aplikasi Anda akan diverifikasi.

Catatan: Jika aplikasi Anda telah diverifikasi, lalu Anda memutuskan untuk beralih ke project Google Cloud lain, Anda harus mengulangi langkah-langkah ini agar aplikasi tetap terverifikasi.