আপনার অ্যাপ যদি সীমাবদ্ধ স্কোপ ব্যবহার করে সংবেদনশীল ব্যবহারকারী ডেটাতে অ্যাক্সেসের অনুরোধ করে, তবে এটিকে অবশ্যই একটি যাচাইকরণ প্রক্রিয়া সম্পন্ন করতে হবে। গুগল হেলথ এপিআই-এর বেশিরভাগ স্কোপই সীমাবদ্ধ, যার অর্থ হলো আপনার অ্যাপটি সর্বজনীনভাবে উপলব্ধ হওয়ার আগে আপনাকে অবশ্যই যাচাইকরণ সম্পন্ন করতে হবে।
এই প্রক্রিয়ার সময়, গুগল যাচাই করে দেখে যে আপনার অ্যাপটি এপিআই পরিষেবা ব্যবহারকারীর ডেটা নীতি এবং অন্য কোনো প্রযোজ্য নীতি মেনে চলছে কি না।
আপনার অ্যাপটি ভেরিফাইড না হলে, এটি ১০০ জন ব্যবহারকারীর মধ্যে সীমাবদ্ধ থাকবে। আরও বেশি ব্যবহারকারীকে সাপোর্ট করার জন্য, আপনাকে অবশ্যই ভেরিফিকেশন প্রক্রিয়াটি সম্পন্ন করতে হবে। এই ভেরিফিকেশনটি গুগল প্লে-এর মতো অ্যাপ স্টোরগুলির জন্য প্রয়োজনীয় যেকোনো অ্যাপ রিভিউ প্রক্রিয়া থেকে আলাদা। যে অ্যাপ এই ভেরিফিকেশনটি সম্পন্ন করেনি, সেটি গুগল প্লে স্টোরে তালিকাভুক্ত হতে পারে, কিন্তু তারপরেও ১০০ জন ব্যবহারকারীর মধ্যে সীমাবদ্ধ থাকবে। আরও তথ্যের জন্য, OAuth অ্যাপ ভেরিফিকেশন হেল্প সেন্টার দেখুন।
যাচাইকরণ প্রক্রিয়ার দুটি অংশ রয়েছে:
- OAuth অ্যাপ যাচাইকরণ : গুগলের ট্রাস্ট অ্যান্ড সেফটি টিম আপনার অ্যাপের পরিচয়, পরিধি এবং গুগল ক্লাউড কনসোলে আপনার দেওয়া অন্যান্য তথ্য পর্যালোচনা করে। আরও তথ্যের জন্য যাচাইকরণের প্রয়োজনীয়তা দেখুন।
- নিরাপত্তা মূল্যায়ন : আপনার অ্যাপ্লিকেশনটি ব্যবহারকারীর ডেটা নিরাপদে পরিচালনা করে, তা নিশ্চিত করার জন্য এটিকে অবশ্যই একটি তৃতীয় পক্ষের নিরাপত্তা মূল্যায়নের মধ্য দিয়ে যেতে হবে।
OAuth অ্যাপ যাচাইকরণ
ভেরিফিকেশনের জন্য প্রস্তুতি নিতে, OAuth 2.0 Restricted Scopes গাইডটি পর্যালোচনা করুন এবং অনুসরণ করুন। এই গাইডে গুগল ক্লাউড কনসোলে ভেরিফিকেশনের জন্য প্রস্তুতি এবং অনুরোধ করার ধাপগুলো বর্ণনা করা হয়েছে।
আপনার অ্যাপের জন্য প্রতিটি স্কোপ কেন প্রয়োজন, তা ব্যাখ্যা করার সময় সুনির্দিষ্টভাবে বলুন। বিভিন্ন স্কোপের জন্য অস্পষ্ট বা পুনরাবৃত্তিমূলক যুক্তি যাচাইকরণ প্রক্রিয়ায় বিলম্ব ঘটাতে পারে।
অ্যাপের মধ্যে তথ্য প্রকাশের প্রয়োজনীয়তা
আপনার অ্যাপ কীভাবে আপনার ব্যবহারকারীদের স্বাস্থ্য ও ফিটনেস ডেটা সংগ্রহ, ব্যবহার এবং শেয়ার করে, তা আপনাকে অবশ্যই স্পষ্টভাবে জানাতে হবে।
অ্যাপের ভেতরের ঘোষণা:
- অবশ্যই অ্যাপটির মধ্যেই থাকতে হবে, শুধু অ্যাপের বিবরণে বা কোনো ওয়েবসাইটে থাকলে চলবে না।
- এটি অ্যাপের স্বাভাবিক ব্যবহারের সময় অবশ্যই প্রদর্শিত হতে হবে এবং এর জন্য ব্যবহারকারীকে কোনো মেনু বা সেটিংসে যেতে হবে না।
- যে ডেটা অ্যাক্সেস বা সংগ্রহ করা হচ্ছে, তার বর্ণনা অবশ্যই দিতে হবে।
- ডেটা কীভাবে ব্যবহার বা শেয়ার করা হয়, তা অবশ্যই ব্যাখ্যা করতে হবে।
- শুধুমাত্র গোপনীয়তা নীতি বা পরিষেবার শর্তাবলীতে রাখা যায় না।
- গুগল হেলথ এপিআই ডেটা সংগ্রহের সাথে সম্পর্কহীন অন্যান্য তথ্যের সাথে এটি অন্তর্ভুক্ত করা যাবে না।
প্রকাশনা বিবৃতির জন্য প্রস্তাবিত বিন্যাসটি হলো: "{অ্যাপের নাম} {বৈশিষ্ট্য}, {বৈশিষ্ট্য}, এবং {বৈশিষ্ট্য} সক্ষম করার জন্য স্বাস্থ্য ও ফিটনেস ডেটা সংগ্রহ করে।"
উদাহরণস্বরূপ: "ফিটনেস কোচ বিশ্লেষণ এবং ব্যক্তিগতকৃত কোচিং সক্ষম করার জন্য কার্যকলাপের ডেটা সংগ্রহ করে।"
নিরাপত্তা মূল্যায়ন (CASA)
OAuth যাচাইকরণের পাশাপাশি, সীমাবদ্ধ স্কোপ ব্যবহারকারী অ্যাপগুলিকে অবশ্যই ক্লাউড অ্যাপ সিকিউরিটি অ্যাসেসমেন্ট ফ্রেমওয়ার্ক (CASA)- এর উপর ভিত্তি করে একটি বার্ষিক নিরাপত্তা মূল্যায়ন সম্পন্ন করতে হবে। এটি কখন সম্পন্ন করতে হবে, সে বিষয়ে গুগলের ট্রাস্ট অ্যান্ড সেফটি টিম আপনাকে নির্দেশনাসহ অবহিত করে।
আপনার অ্যাপ ব্যবহারকারীর ডেটা নিরাপদে পরিচালনা করে এবং অনুরোধে তা মুছে ফেলতে পারে কিনা, তা নিশ্চিত করার জন্য একটি তৃতীয়-পক্ষ নিরাপত্তা সংস্থা এই মূল্যায়নটি করে থাকে। CASA শিল্প-স্বীকৃত OWASP অ্যাপ্লিকেশন সিকিউরিটি ভেরিফিকেশন স্ট্যান্ডার্ড (ASVS) ব্যবহার করে। মূল্যায়নে উত্তীর্ণ হওয়ার পর, আপনার অ্যাপ নিরাপত্তা মূল্যায়নকারীর কাছ থেকে একটি লেটার অফ ভ্যালিডেশন (LOV) পায়।
CASA প্রোগ্রাম সম্পর্কে আরও বিস্তারিত জানতে এবং অনুমোদিত নিরাপত্তা মূল্যায়নকারীদের খুঁজে পেতে, ক্লাউড অ্যাপ্লিকেশন নিরাপত্তা মূল্যায়ন ওয়েবসাইটটি দেখুন।
আপনার যদি বিদ্যমান নিরাপত্তা শংসাপত্র বা সাম্প্রতিক পেনিট্রেশন টেস্টের ফলাফল থাকে যা স্বীকৃত শিল্প মানদণ্ডের সাথে সামঞ্জস্যপূর্ণ, তাহলে আপনি CASA প্রক্রিয়াটি দ্রুত সম্পন্ন করতে সক্ষম হতে পারেন। CASA একটি অ্যাক্সিলারেটর প্রোগ্রাম অফার করে যা মূল্যায়নকারীদেরকে স্বীকৃত নিরাপত্তা ফ্রেমওয়ার্ক থেকে বিদ্যমান বৈধ ডকুমেন্টেশন ব্যবহার করার সুযোগ দেয়, যার ফলে অপ্রয়োজনীয় যাচাই-বাছাই কমে এবং সম্ভাব্যভাবে মূল্যায়নের খরচও হ্রাস পায়।
টিয়ার-২ অ্যাপ্লিকেশনগুলির জন্য নিরাপত্তা মূল্যায়ন সম্পন্ন হতে ২-৩ সপ্তাহ এবং টিয়ার-৩ অ্যাপ্লিকেশনগুলির জন্য ৪-৬ সপ্তাহ সময় লাগতে পারে। এর জন্য তৃতীয় পক্ষের মূল্যায়নকারীকে ফি প্রদান করতে হয়, যা আপনার অ্যাপের জটিলতার উপর নির্ভর করে ৫০০ থেকে ৪,৫০০ মার্কিন ডলার পর্যন্ত হয়ে থাকে। ট্রাস্ট অ্যান্ড সেফটি বিভাগ ডেভেলপারকে জানিয়ে দেবে কখন CASA প্রক্রিয়া শুরু করতে হবে।
আপনার লেটার অফ ভ্যালিডেশন (LOV) পাওয়ার পর, আপনার নিরাপত্তা মূল্যায়ন সম্পূর্ণ করার জন্য চিঠিটি গুগলের ট্রাস্ট অ্যান্ড সেফটি টিমের কাছে জমা দিন।
উত্তেজনা বৃদ্ধি
CASA মূল্যায়নটি একটি তৃতীয় পক্ষ দ্বারা পরিচালিত হয় এবং এই মূল্যায়ন প্রক্রিয়ার উপর গুগলের কোনো নিয়ন্ত্রণ নেই। মূল্যায়ন সংক্রান্ত কোনো সমস্যা হলে, তা সরাসরি আপনার নির্বাচিত নিরাপত্তা মূল্যায়নকারীর কাছে উত্থাপন করা উচিত।