Os clientes OAuth do Google que solicitam determinados escopos confidenciais do OAuth estão sujeitos à verificação do Google.
Se você não verificar o cliente OAuth do seu projeto de script, os usuários fora do domínio verão uma tela de app não verificado quando tentarem autorizar o script. Um fluxo de autorização não verificado permite que esses usuários autorizem apps não verificados e os usem, mas somente após confirmarem que entendem os riscos. O número total de usuários não verificados também é limitado.
Para mais informações, consulte os seguintes artigos:
- Apps não verificados
- Perguntas frequentes sobre a verificação de apps OAuth
- Serviços de API do Google: política de dados do usuário
Essa mudança se aplica aos clientes da Web do Google OAuth, inclusive aos usados por todos os projetos do Apps Script. Ao verificar seu app com o Google, é possível remover a tela do app não verificado do fluxo de autorização e informar aos usuários que o app não é malicioso.
Apps não verificados
Complementos, apps da Web e outras implantações (como apps que usam a API Apps Script) podem precisar de verificação.
Aplicabilidade
Se o aplicativo usar escopos OAuth confidenciais, a tela do aplicativo não verificada poderá aparecer como parte do fluxo de autorização. A presença dele e o fluxo de verificação do app não verificado resultante dependem da conta em que o app foi publicado e da conta que está tentando usar o app. Por exemplo, os apps publicados em uma organização específica do Google Workspace não resultam no fluxo de autorização não verificado para contas nesse domínio, mesmo que não tenham sido verificados.
A tabela a seguir ilustra quais situações resultam no fluxo de autorização para apps não verificado:
| O cliente foi verificado | O editor é uma conta do Google Workspace do cliente A | O script está em um drive compartilhado do cliente A | O editor é uma conta do Gmail | |
|---|---|---|---|---|
| O usuário é uma conta do Google Workspace do cliente A. | Fluxo de autenticação normal | Fluxo de autenticação normal | Fluxo de autenticação normal | Fluxo de autenticação não verificado |
| O usuário é uma conta do Google Workspace que não é do cliente A. | Fluxo de autenticação normal | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado |
| O usuário é uma conta do Gmail1 | Fluxo de autenticação normal | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado |
1Qualquer conta do Gmail, inclusive aquela usada para publicar o app.
Limite de usuários
O número de usuários que podem autorizar um app usando o fluxo não verificado é limitado para limitar possíveis abusos. Para mais detalhes, consulte Limites de usuário do aplicativo OAuth.
Solicitando verificação
É possível solicitar uma verificação do cliente OAuth usado pelo app e do projeto do Cloud Platform (GCP) associado. Depois que o app for verificado, seus usuários não verão mais a tela não verificada. Além disso, o app não estará mais sujeito ao limite de usuários.
Requisitos
Para enviar seu cliente OAuth para verificação, é necessário atender aos seguintes requisitos:
Você precisa ter um site em um domínio. O site precisa hospedar páginas acessíveis publicamente que descrevam seu app e a Política de Privacidade dele. Você também precisa verificar a propriedade do site com o Google.
O projeto do Google Cloud que seu projeto de script precisa ser um projeto padrão do Google Cloud a que você tem acesso para editar. Se o script estiver usando um projeto padrão do Google Cloud, mude para um projeto padrão.
Além disso, você precisa ter os seguintes recursos obrigatórios:
- Nome do aplicativo. O nome do app. É mostrado na tela de consentimento. Ele precisa corresponder ao nome usado pelo app em outros locais, como a lista de produtos do Google Workspace Marketplace.
- Logotipo do aplicativo. Uma imagem JPEG, PNG ou BMP do logotipo do app para usar na tela de consentimento O arquivo precisa ter no máximo 1 MB.
- E-mail de suporte. Este é um e-mail exibido na tela de consentimento para os usuários entrarem em contato se precisarem de suporte ao app. Pode ser seu endereço de e-mail ou um Grupo do Google que você possui ou gerencia.
- Escopos. A lista de todos os escopos que o app usa. Você pode ver os escopos no editor do Apps Script.
- Domínios autorizados. Essa é uma lista de domínios que contêm informações sobre seu app. Todos os links dele (como a página de Política de Privacidade necessária) precisam ser hospedados em domínios autorizados.
- URL da página inicial do aplicativo É o local de uma página inicial que descreve o app. Esse local precisa estar hospedado em um domínio autorizado.
- URL da Política de Privacidade do aplicativo. O local de uma página que descreve a Política de Privacidade do seu app. Esse local precisa estar hospedado em um domínio autorizado.
Além dos recursos necessários acima, você pode fornecer um URL de Termos de Serviço do aplicativo que direcione para uma página que descreve os Termos de Serviço do seu app. Se fornecido, esse local precisará estar em um domínio autorizado.
Passos
- Verifique a propriedade de todos os domínios autorizados que você usa para hospedar a Política de Privacidade e outras informações do seu projeto de script caso ainda não tenha feito isso. Os proprietários verificados dos domínios precisam ser editores ou o proprietário do projeto de script.
- No projeto do Apps Script, clique em Visão geral . Em Escopos OAuth do projeto, copie os escopos usados no projeto do script.
Preencha a tela de permissão OAuth do projeto do Google Cloud do seu aplicativo usando os recursos de texto e URL que você coletou.
- Liste os domínios autorizados em que as informações do seu app, como a Política de Privacidade, estão hospedadas.
Para adicionar os escopos do aplicativo, clique em Adicionar ou remover escopos. A caixa de diálogo resultante tenta detectar automaticamente os escopos das APIs ativadas no console do Google Cloud (como serviços avançados). É possível selecionar escopos dessa lista marcando as caixas correspondentes.
Essa lista de detecção automática nem sempre inclui escopos usados por serviços integrados do Apps Script. Você precisa inseri-los em Adicionar escopos manualmente.
Quando terminar, clique em Atualizar.
Depois de inserir todas as informações necessárias, clique em Salvar.
Clique em Enviar para verificação para iniciar um pedido de verificação.
A maioria das solicitações de verificação recebe uma resposta dentro de 24 a 72 horas. Verifique o Status de verificação na parte superior do formulário da tela de permissão OAuth. Quando a verificação do cliente OAuth é confirmada, o app é verificado.