Xác minh phạm vi bị hạn chế

Một số API của Google (những API chấp nhận Nhạy cảm hoặc Bị hạn chế phạm vi) có các yêu cầu đối với ứng dụng muốn xin quyền truy cập vào dữ liệu người tiêu dùng. Các yêu cầu bổ sung này đối với phạm vi bị hạn chế yêu cầu ứng dụng phải chứng minh rằng ứng dụng đó là một loại ứng dụng được phép và phải gửi để được xem xét bổ sung, bao gồm cả việc đánh giá bảo mật (có thể).

Khả năng áp dụng của phạm vi bị hạn chế trong một API chủ yếu phụ thuộc vào mức độ truy cập cần thiết để cung cấp một tính năng liên quan trong ứng dụng của bạn: chỉ đọc, chỉ ghi, đọc và ghi, v.v.

Khi sử dụng OAuth 2.0 để xin phép Tài khoản Google truy cập vào dữ liệu này, bạn sẽ sử dụng các chuỗi có tên là phạm vi để chỉ định loại dữ liệu bạn muốn truy cập và mức độ truy cập bạn cần. Nếu ứng dụng của bạn yêu cầu phạm vi nhạy cảm hoặc bị hạn chế, bạn cần hoàn tất quy trình xác minh trừ phi việc sử dụng ứng dụng của bạn đủ điều kiện được miễn.

Số lượng phạm vi bị hạn chế ít hơn so với phạm vi nhạy cảm. Câu hỏi thường gặp về quy trình xác minh API OAuth Xác minh chứa danh sách hiện tại về phạm vi Nhạy cảm và Bị hạn chế. Các phạm vi này cung cấp quyền truy cập rộng rãi vào dữ liệu người dùng của Google và yêu cầu bạn phải trải qua quy trình xác minh phạm vi trước khi yêu cầu các phạm vi này từ bất kỳ Tài khoản Google nào. Để biết thông tin về yêu cầu này, hãy xem Chính sách dữ liệu người dùng của các dịch vụ API của Google và Các yêu cầu bổ sung đối với phạm vi API cụ thể hoặc trang dành cho nhà phát triển của Google cho từng sản phẩm. Nếu bạn lưu trữ hoặc truyền dữ lý liệu phạm vi bị hạn chế trên máy chủ, thì bạn cần hoàn tất quy trình đánh giá bảo mật.

Tìm hiểu về phạm vi bị hạn chế

Nếu ứng dụng của bạn yêu cầu bất kỳ phạm vi bị hạn chế nào và không đủ điều kiện được miễn trừ, thì bạn cần đáp ứng Các yêu cầu bổ sung đối với phạm vi API cụ thể theo Chính sách dữ liệu người dùng của các dịch vụ API của Google hoặc các yêu cầu cụ thể về sản phẩm trên trang dành cho nhà phát triển của Google cho từng sản phẩm. Các yêu cầu này đòi hỏi quy trình xem xét mở rộng hơn.

Tìm hiểu về cách sử dụng phạm vi

Hãy nhớ tính đến thời gian cần thiết để hoàn tất quy trình xác minh trong kế hoạch ra mắt cho ứng dụng hoặc mọi tính năng mới yêu cầu phạm vi mới. Một trong những yêu cầu bổ sung này xảy ra nếu ứng dụng truy cập hoặc có khả năng truy cập vào dữ liệu người dùng của Google từ hoặc thông qua một máy chủ. Trong những trường hợp này, hệ thống phải trải qua quy trình đánh giá bảo mật hằng năm bảo mật do một chuyên gia đánh giá độc lập, bên thứ ba được Google phê duyệt thực hiện. Vì lý do này, quy trình xác minh phạm vi bị hạn chế có thể mất vài tuần để hoàn tất. Xin lưu ý rằng trước tiên, tất cả ứng dụng phải hoàn tất bước xác minh thương hiệu (thường mất 2 đến 3 ngày làm việc) nếu thông tin thương hiệu đã thay đổi kể từ lần xác minh màn hình xin phép bằng OAuth được phê duyệt gần đây nhất.

Các loại ứng dụng được phép

Một số loại ứng dụng có thể truy cập vào phạm vi bị hạn chế cho từng sản phẩm. Bạn có thể tìm thấy các loại ứng dụng trên Trang dành cho nhà phát triển của Google cho từng sản phẩm (ví dụ: Chính sách API Gmail).

Bạn có trách nhiệm tìm hiểu và xác định loại ứng dụng của mình. Tuy nhiên, nếu thực sự không chắc chắn về loại ứng dụng của mình, bạn có thể không chọn lựa chọn nào cho câu hỏi Bạn sẽ sử dụng những tính năng nào? khi gửi ứng dụng để xác minh. Sau đó, nhóm xác minh của API Google sẽ xác định loại ứng dụng.

Đánh giá bảo mật

Mọi ứng dụng yêu cầu quyền truy cập vào dữ liệu bị hạn chế của người dùng Google và có khả năng truy cập vào dữ liệu từ hoặc thông qua một máy chủ bên thứ ba đều phải trải qua quy trình đánh giá bảo mật do các chuyên gia đánh giá bảo mật được Google đưa vào. Quy trình đánh giá này giúp bảo vệ dữ liệu của người dùng Google bằng cách xác minh rằng tất cả ứng dụng truy cập vào dữ liệu người dùng của Google đều chứng minh được khả năng xử lý dữ liệu một cách an toàn và xoá dữ liệu người dùng theo yêu cầu của người dùng.

Để chuẩn hoá quy trình đánh giá bảo mật, chúng tôi sử dụng App Defense Alliance và khung đánh giá bảo mật ứng dụng đám mây (CASA).

Như đã đề cập trước đó, để duy trì quyền truy cập vào mọi phạm vi bị hạn chế đã xác minh, ứng dụng phải được xác minh lại để tuân thủ và hoàn tất quy trình đánh giá bảo mật ít nhất 12 tháng một lần sau ngày phê duyệt Thư đánh giá (LOA) của chuyên gia đánh giá. Nếu ứng dụng của bạn thêm một phạm vi bị hạn chế mới, thì ứng dụng đó có thể cần được đánh giá lại để bao gồm phạm vi bổ sung nếu phạm vi đó không được đưa vào quy trình đánh giá bảo mật trước đó.

Nhóm đánh giá của Google sẽ gửi email cho bạn khi đến thời điểm cấp lại chứng nhận cho ứng dụng của bạn. Để đảm bảo rằng các thành viên phù hợp trong nhóm của bạn được thông báo về việc thực thi hằng năm này, hãy liên kết thêm Tài khoản Google với dự án Cloud Console của bạn với tư cách là Chủ sở hữu hoặc Người chỉnh sửa. Bạn cũng nên cập nhật email hỗ trợ người dùng và email liên hệ của nhà phát triển được chỉ định trong trang Thương hiệu OAuth của Google Cloud Console.

Các bước chuẩn bị cho quy trình xác minh

Tất cả ứng dụng sử dụng API của Google để yêu cầu quyền truy cập vào dữ liệu đều phải thực hiện các bước sau để hoàn tất quy trình xác minh thương hiệu:

  1. Xác nhận rằng ứng dụng của bạn không thuộc bất kỳ trường hợp sử dụng nào trong phần Các trường hợp ngoại lệ đối với yêu cầu xác minh.
  2. Đảm bảo rằng ứng dụng của bạn tuân thủ các yêu cầu về thương hiệu của API hoặc sản phẩm được liên kết. Ví dụ: hãy xem nguyên tắc sử dụng thương hiệu cho phạm vi Đăng nhập bằng Google.
  3. Xác minh quyền sở hữu các miền được uỷ quyền của dự án trong Google Search Console. Sử dụng Tài khoản Google được liên kết với dự án API Console của bạn với tư cách là Chủ sở hữu hoặc Người chỉnh sửa.
  4. Đảm bảo rằng tất cả thông tin thương hiệu trên màn hình xin phép bằng OAuth (chẳng hạn như tên ứng dụng, email hỗ trợ , URI trang chủ, URI chính sách quyền riêng tư, v.v.) đều thể hiện chính xác danh tính của ứng dụng.

Yêu cầu đối với trang chủ của ứng dụng

Đảm bảo rằng trang chủ của bạn đáp ứng các yêu cầu sau:

  • Trang chủ của bạn phải có thể truy cập công khai và không chỉ dành cho người dùng đã đăng nhập vào trang web của bạn.
  • Mức độ liên quan của trang chủ của bạn với ứng dụng đang được xem xét phải rõ ràng.
  • Đường liên kết đến trang thông tin của ứng dụng trên Cửa hàng Google Play hoặc trang Facebook của ứng dụng không được coi là trang chủ hợp lệ của ứng dụng.

Yêu cầu đối với đường liên kết đến chính sách quyền riêng tư của ứng dụng

Đảm bảo rằng chính sách quyền riêng tư của ứng dụng đáp ứng các yêu cầu sau:

  • Người dùng phải nhìn thấy chính sách quyền riêng tư, được lưu trữ trong cùng miền với trang chủ của ứng dụng và được liên kết trên màn hình xin phép bằng OAuth của Google API Console. Xin lưu ý rằng trang chủ phải có phần mô tả chức năng của ứng dụng, cũng như đường liên kết đến chính sách quyền riêng tư và các điều khoản dịch vụ không bắt buộc.
  • Chính sách quyền riêng tư phải nêu rõ cách ứng dụng của bạn truy cập, sử dụng, lưu trữ hoặc chia sẻ dữ liệu người dùng của Google. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. Bạn phải giới hạn việc sử dụng dữ liệu người dùng của Google theo các phương thức mà chính sách quyền riêng tư đã xuất bản của bạn nêu rõ.
  • Review example cases of privacy policies that don't meet the Limited Use requirements.

Cách gửi ứng dụng để xác minh

Dự án Google Cloud Console sắp xếp tất cả tài nguyên Cloud Console của bạn. Một dự án bao gồm một tập hợp các Tài khoản Google được liên kết có quyền thực hiện các thao tác dự án, một tập hợp các API đã bật và các chế độ cài đặt thanh toán, xác thực và giám sát cho các API đó. Ví dụ: một dự án có thể chứa một hoặc nhiều ứng dụng OAuth, định cấu hình API để các ứng dụng đó sử dụng và định cấu hình màn hình xin phép bằng OAuth hiển thị cho người dùng trước khi họ cho phép truy cập vào ứng dụng của bạn.

Nếu bất kỳ ứng dụng OAuth nào của bạn chưa sẵn sàng cho quá trình sản xuất, bạn nên xoá các ứng dụng đó khỏi dự án đang yêu cầu xác minh. Bạn có thể thực hiện việc này trong trang Ứng dụng.

Để gửi xác minh, hãy làm theo các bước sau:

  1. Đảm bảo rằng ứng dụng của bạn tuân thủ Điều khoản dịch vụ về các API của Google và Chính sách dữ liệu người dùng của các dịch vụ API của Google.
  2. Luôn cập nhật vai trò chủ sở hữu và người chỉnh sửa của các tài khoản được liên kết với dự án, cũng như email hỗ trợ người dùng và thông tin liên hệ của nhà phát triển trên màn hình đồng ý OAuth trong Cloud Console. Điều này đảm bảo rằng các thành viên phù hợp trong nhóm của bạn được thông báo về mọi yêu cầu mới.
  3. Chuyển đến Trung tâm xác minh OAuth của Cloud Console .
  4. Nhấp vào nút Trình chọn dự án.

  5. Trên hộp thoại Chọn từ xuất hiện, hãy chọn dự án của bạn. Nếu bạn không tìm thấy dự án của mình nhưng biết mã dự án, bạn có thể tạo URL trong trình duyệt theo định dạng sau:

    https://console.developers.google.com/auth/branding?project=[PROJECT_ID]

    Thay thế [PROJECT_ID] bằng mã dự án bạn muốn sử dụng.

  6. Chọn nút Chỉnh sửa ứng dụng.
  7. Nhập thông tin cần thiết trên trang màn hình xin phép bằng OAuth, sau đó chọn nút Lưu và tiếp tục.
  8. Sử dụng nút Thêm hoặc xoá phạm vi để khai báo tất cả phạm vi mà ứng dụng của bạn yêu cầu. Một tập hợp phạm vi ban đầu cần thiết cho tính năng Đăng nhập bằng Google được điền sẵn trong phần Phạm vi không nhạy cảm. Các phạm vi được thêm sẽ được phân loại là không nhạy cảm, sensitive, or restricted.
  9. Cung cấp tối đa 3 đường liên kết đến mọi tài liệu liên quan cho các tính năng liên quan trong ứng dụng của bạn.

  10. Cung cấp mọi thông tin bổ sung được yêu cầu về ứng dụng của bạn trong các bước tiếp theo.

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

      1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
      2. Show that the OAuth consent screen correctly displays the App Name.
      3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
      4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
      5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
  11. Nếu cấu hình ứng dụng mà bạn cung cấp yêu cầu xác minh, bạn có thể gửi ứng dụng để xác minh. Điền vào các trường bắt buộc, sau đó nhấp vào Gửi để bắt đầu quy trình xác minh.

Sau khi bạn gửi ứng dụng, nhóm Tin cậy và an toàn của Google sẽ liên hệ qua email để yêu cầu mọi thông tin bổ sung cần thiết hoặc các bước bạn phải hoàn tất. Kiểm tra địa chỉ email của bạn trong phần Thông tin liên hệ của nhà phát triển và email hỗ trợ của màn hình đồng ý OAuth để biết các yêu cầu về thông tin bổ sung. Bạn cũng có thể xem trang màn hình đồng ý OAuth của dự án để xác nhận trạng thái xem xét hiện tại của dự án, bao gồm cả việc quy trình xem xét có bị tạm dừng trong khi chúng tôi chờ phản hồi của bạn hay không.

Các trường hợp ngoại lệ đối với yêu cầu xác minh

Nếu ứng dụng của bạn sẽ được sử dụng trong bất kỳ trường hợp nào được mô tả trong các phần sau, thì bạn không cần gửi ứng dụng đó để xem xét.

Sử dụng cá nhân

Một trường hợp sử dụng là nếu bạn là người dùng duy nhất của ứng dụng hoặc nếu ứng dụng của bạn chỉ được sử dụng bởi một số ít người dùng, mà bạn biết rõ. Bạn và số lượng người dùng hạn chế có thể thoải mái chuyển qua màn hình ứng dụng chưa được xác minh và cấp quyền truy cập vào ứng dụng cho các tài khoản cá nhân của bạn.

Các dự án được sử dụng ở các cấp Phát triển, Thử nghiệm hoặc Dàn dựng

Để tuân thủ Chính sách OAuth 2.0 của Google, bạn nên có các dự án khác nhau cho môi trường thử nghiệm và sản xuất. Bạn chỉ nên gửi ứng dụng để xác minh nếu muốn cung cấp ứng dụng cho bất kỳ người dùng nào có Tài khoản Google. Do đó, nếu ứng dụng của bạn đang trong giai đoạn phát triển, thử nghiệm hoặc dàn dựng, thì bạn không cần xác minh.

Nếu ứng dụng của bạn đang trong giai đoạn phát triển hoặc thử nghiệm, bạn có thể để Trạng thái phát hành ở chế độ cài đặt mặc định là Thử nghiệm. Chế độ cài đặt này có nghĩa là ứng dụng của bạn vẫn đang trong quá trình phát triển và chỉ dành cho những người dùng mà bạn thêm vào danh sách người dùng thử nghiệm. Bạn phải quản lý danh sách Tài khoản Google tham gia vào quá trình phát triển hoặc thử nghiệm ứng dụng của bạn.

Thông báo cảnh báo rằng Google chưa xác minh một ứng dụng đang trong giai đoạn thử nghiệm.
Hình 1. Màn hình cảnh báo người thử nghiệm

Chỉ dữ liệu do dịch vụ sở hữu

Nếu ứng dụng của bạn sử dụng tài khoản dịch vụ chỉ để truy cập vào dữ liệu của riêng ứng dụng và không truy cập vào bất kỳ dữ liệu người dùng nào (được liên kết với Tài khoản Google), thì bạn không cần gửi để xác minh.

Để tìm hiểu tài khoản dịch vụ là gì, hãy xem Tài khoản dịch vụ trong tài liệu của Google Cloud. Để biết hướng dẫn về cách sử dụng tài khoản dịch vụ, hãy xem bài viết Sử dụng OAuth 2.0 cho các ứng dụng từ máy chủ đến máy chủ.

Chỉ sử dụng nội bộ

Điều này có nghĩa là ứng dụng chỉ được sử dụng bởi những người trong tổ chức Google Workspace hoặc Cloud Identity của bạn. Tổ chức phải sở hữu dự án và màn hình xin phép bằng OAuth của dự án đó cần được định cấu hình cho loại người dùng Nội bộ. Trong trường hợp này, ứng dụng của bạn có thể cần được quản trị viên tổ chức phê duyệt. Để biết thêm thông tin, hãy xem Các lưu ý bổ sung cho Google Workspace.

Cài đặt trên toàn miền

Nếu bạn dự định ứng dụng của mình chỉ nhắm đến người dùng của tổ chức Google Workspace hoặc Cloud Identity và luôn sử dụng chế độ cài đặt trên toàn miền, thì ứng dụng của bạn sẽ không yêu cầu xác minh thương hiệu. Tuy nhiên, nếu ứng dụng của bạn sử dụng phạm vi bị hạn chế hoặc phạm vi nhạy cảm, thì bạn phải xác minh ứng dụng. Điều này là do chế độ cài đặt trên toàn miền cho phép quản trị viên miền cấp quyền truy cập vào dữ liệu của người dùng cho các ứng dụng bên thứ ba và ứng dụng nội bộ. Quản trị viên tổ chức là những tài khoản duy nhất có thể thêm ứng dụng vào danh sách cho phép để sử dụng trong miền của họ.

Tìm hiểu cách cài đặt ứng dụng trên toàn miền trong Câu hỏi thường gặp Ứng dụng của tôi có người dùng có tài khoản doanh nghiệp từ một Miền Google Workspace khác.