Berikut adalah beberapa panduan keamanan dan privasi untuk developer yang menggunakan Google Assistant API dalam project mereka.
Otorisasi API dan aplikasi
Aplikasi apa pun yang menggunakan Google Assistant API harus memiliki kredensial
otorisasi yang mengidentifikasi aplikasi ke server autentikasi Google.
Biasanya, kredensial ini disimpan dalam file client_secret_<client-id>.json
yang didownload. Pastikan untuk menyimpan file ini di lokasi yang hanya dapat diakses
oleh aplikasi Anda.
Aplikasi Anda dapat meminta pengguna untuk memberikan akses ke akun Google mereka. Jika telah diberikan, aplikasi Anda dapat meminta token akses untuk pengguna tersebut. Masa berlaku token ini akan berakhir, tetapi dapat diperbarui.
Token refresh yang tidak dilindungi di perangkat menimbulkan risiko keamanan yang signifikan. Pastikan aplikasi Anda:
- Menyimpan token refresh di tempat yang aman.
- Menyediakan cara mudah untuk menghapus token dari perangkat. Misalnya, sediakan tombol "Logout" yang menghapus token (jika aplikasi memiliki UI) atau skrip command line yang dapat dijalankan pengguna.
- Memberi tahu pengguna bahwa mereka dapat mencabut otorisasi akses ke Akun Google mereka. Tindakan ini akan mencabut token refresh; untuk menggunakan aplikasi lagi, pengguna harus memberikan otorisasi ulang akses.
Setelah selesai menggunakan perangkat secara permanen, Anda harus menghapus semua token dari perangkat tersebut.
Untuk informasi selengkapnya, lihat Menggunakan OAuth 2.0 untuk Mengakses Google API.