تفرض بعض واجهات Google APIs (التي تقبل النطاقات الحسّاسة أو المحظورة) متطلبات على التطبيقات التي تطلب الإذن بالوصول إلى بيانات المستهلكين. تتطلّب هذه المتطلبات الإضافية للنطاقات المحدودة أن يثبت التطبيق أنّه من نوع التطبيقات المسموح بها وأن يخضع لمراجعات إضافية، والتي تشمل تقييمًا محتملاً للأمان.
يعتمد مدى تطبيق النطاقات المحدودة ضمن واجهة برمجة التطبيقات في الغالب على درجة الوصول المطلوبة لتوفير ميزة ذات صلة في تطبيقك: إذن بالقراءة فقط، أو الكتابة فقط، أو القراءة والكتابة، وما إلى ذلك.
عند استخدام OAuth 2.0 للحصول على إذن من حساب Google للوصول إلى هذه البيانات، يمكنك استخدام سلاسل تُسمى النطاقات لتحديد نوع البيانات التي تريد الوصول إليها ومستوى الوصول الذي تحتاجه. إذا كان تطبيقك يطلب استخدام نطاقات حسّاسة أو محدودة، عليك إكمال عملية التحقّق من التطبيق ما لم يكن استخدام تطبيقك مؤهَّلاً للحصول على استثناء.
النطاقات المحدودة أقل عددًا مقارنةً بالنطاقات الحسّاسة. تحتوي الأسئلة الشائعة حول التحقّق من واجهة برمجة تطبيقات OAuth على القائمة الحالية للنطاقات الحسّاسة والمحدودة. توفّر هذه النطاقات إمكانية وصول واسعة إلى بيانات مستخدمي Google، وتتطلّب منك إكمال عملية التحقّق من النطاق قبل طلب النطاقات من أي حساب على Google. للحصول على معلومات حول هذا الشرط، يُرجى الاطّلاع على سياسة بيانات المستخدم في خدمات Google API والمتطلبات الإضافية لنطاقات معيّنة من واجهة برمجة التطبيقات أو صفحة مطوّري برامج Google الخاصة بالمنتج. إذا كنت تخزّن أو تنقل بيانات النطاق المحدود على الخوادم، عليك إكمال تقييم الأمان.
فهم النطاقات المحظورة
إذا كان تطبيقك يطلب أي نطاقات محدودة ولا يتأهّل للحصول على استثناء، عليك استيفاء المتطلبات الإضافية لنطاقات معيّنة في واجهة برمجة التطبيقات ضمن سياسة بيانات المستخدمين في خدمات Google API، أو المتطلبات الخاصة بالمنتج على صفحة Google للمطوّرين الخاصة بالمنتج، والتي تتطلّب عملية مراجعة أكثر شمولاً.
فهم استخدامك للنطاقات
- راجِع النطاقات التي يستخدمها تطبيقك أو التي تريد استخدامها. للعثور على استخدام النطاق الحالي، افحص الرمز المصدر لتطبيقك بحثًا عن أي نطاقات تم إرسالها مع طلبات التفويض.
- تأكَّد من أنّ كل نطاق مطلوب ضروري للإجراءات المقصودة لميزة تطبيقك، وأنّه يستخدم أقل قدر من الامتيازات اللازمة لتوفير الميزة. عادةً ما تتضمّن واجهة Google API مستندات مرجعية على صفحة Google Developers الخاصة بالمنتج لنقاط النهاية التي تتضمّن النطاق المطلوب لطلب نقطة النهاية أو سمات معيّنة داخلها. لمزيد من المعلومات حول نطاقات الوصول اللازمة لنقاط نهاية واجهة برمجة التطبيقات التي يطلبها تطبيقك، يُرجى قراءة المستندات المرجعية لنقاط النهاية هذه. على سبيل المثال، إذا كان التطبيق يستخدم واجهات برمجة تطبيقات Gmail فقط لإرسال رسائل إلكترونية من حين لآخر نيابةً عن المستخدم، لا تطلب النطاق الذي يوفّر إمكانية الوصول الكامل إلى بيانات البريد الإلكتروني للمستخدم.
- يجب استخدام البيانات التي تتلقّاها من Google API بما يتوافق مع سياسات واجهة برمجة التطبيقات وبالطريقة التي توضّحها للمستخدمين في إجراءات تطبيقك وفي سياسة الخصوصية.
- يمكنك الرجوع إلى مستندات واجهة برمجة التطبيقات للاطّلاع على مزيد من المعلومات عن كل نطاق، بما في ذلك حالته المحتملة الحسّاسة أو المحظورة.
- يجب الإفصاح عن جميع النطاقات التي يستخدمها تطبيقك في صفحة "الوصول إلى البيانات" في Cloud Console. يتم تجميع النطاقات التي تحدّدها في فئات حسّاسة أو خاضعة لقيود لتسليط الضوء على أي عملية تحقّق إضافية مطلوبة.
- ابحث عن أفضل نطاق يتطابق مع البيانات التي تستخدمها عملية الدمج، وافهم طريقة استخدامه، وأعِد التأكّد من أنّ كل شيء لا يزال يعمل في بيئة اختبار، ثم استعدّ لإرسال طلب إثبات الهوية.
احرص على احتساب الوقت اللازم لإكمال عملية التحقّق في خطة إطلاق تطبيقك أو أي ميزات جديدة تتطلّب نطاقًا جديدًا. ينطبق أحد هذه المتطلبات الإضافية إذا كان التطبيق يصل إلى بيانات مستخدمي Google أو لديه القدرة على الوصول إليها من خلال خادم. في هذه الحالات، يجب أن يخضع النظام لتقييم أمان سنوي من قِبل جهة تقييم مستقلة تابعة لطرف ثالث ومعتمَدة من Google. لهذا السبب، قد تستغرق عملية التحقّق من النطاقات المحدودة عدة أسابيع. يُرجى العِلم أنّه يجب أن تكمل جميع التطبيقات خطوة التحقّق من العلامة التجارية أولاً، والتي تستغرق عادةً من يومَين إلى 3 أيام عمل، في حال تغيّرت معلومات العلامة التجارية منذ آخر عملية تحقّق من شاشة طلب الموافقة المتعلّقة ببروتوكول OAuth تمت الموافقة عليها.
أنواع التطبيقات المسموح بها
يمكن لبعض أنواع التطبيقات الوصول إلى النطاقات المحدودة لكل منتج. يمكنك العثور على أنواع التطبيقات في صفحة مطوّري برامج Google الخاصة بالمنتج (على سبيل المثال، سياسة Gmail API).
وتقع على عاتقك مسؤولية فهم نوع طلبك وتحديده. ومع ذلك، إذا لم تكن متأكدًا من نوع تطبيقك، يمكنك عدم تحديد أي خيارات للسؤال ما هي الميزات التي ستستخدمها؟ عند إرسال التطبيق لإثبات ملكيته. سيحدّد فريق التحقّق من Google API بعد ذلك نوع التطبيق.
التقييم الأمني
يجب أن يخضع كل تطبيق يطلب الوصول إلى بيانات مستخدمي Google المحدودة ولديه القدرة على الوصول إلى البيانات من خادم تابع لجهة خارجية أو من خلاله لتقييم أمان على أيدي فريق تقييم أمني معتمَد من Google. يساعد هذا التقييم في الحفاظ على أمان بيانات مستخدمي Google من خلال التحقّق من أنّ جميع التطبيقات التي تصل إلى بيانات مستخدمي Google تُظهر القدرة على التعامل مع البيانات بأمان وحذف بيانات المستخدمين بناءً على طلبهم.
لتوحيد معايير تقييم الأمان، نستخدم App Defense Alliance وإطار عمل تقييم أمان تطبيقات السحابة الإلكترونية (CASA).
كما ذكرنا سابقًا، للاحتفاظ بإمكانية الوصول إلى أي نطاقات مقيّدة تم التحقّق منها، يجب إعادة التحقّق من امتثال التطبيقات وإكمال تقييم الأمان كل 12 شهرًا على الأقل بعد تاريخ موافقة المُقيِّم على خطاب التقييم (LOA). إذا أضاف تطبيقك نطاقًا جديدًا محظورًا، قد يحتاج تطبيقك إلى إعادة تقييم لتغطية النطاق الإضافي إذا لم يتم تضمينه في تقييم أمان سابق.
يرسل إليك فريق المراجعة من Google رسالة إلكترونية عندما يحين وقت إعادة اعتماد تطبيقك. للتأكّد من إبلاغ الأعضاء المعنيين في فريقك بهذا الإجراء السنوي، يمكنك ربط حسابات Google إضافية بمشروعك على Cloud Console بصفتك مالكًا أو محرّرًا. ويساعد أيضًا في إبقاء عناوين البريد الإلكتروني المخصّصة للتواصل مع المطوّرين وخدمة دعم المستخدمين محدّثة، وهي العناوين المحدّدة في صفحة "العلامة التجارية" ضمن OAuth في Google Cloud Console.
خطوات الاستعداد لعملية التحقّق
على جميع التطبيقات التي تستخدم Google APIs لطلب الوصول إلى البيانات تنفيذ الخطوات التالية لإكمال عملية التحقّق من العلامة التجارية:
- تأكَّد من أنّ تطبيقك لا يندرج ضمن أي من حالات الاستخدام الواردة في قسم استثناءات متطلبات التحقّق.
- يُرجى التأكّد من أنّ تطبيقك يلتزم بمتطلبات العلامة التجارية لواجهات برمجة التطبيقات أو المنتج المرتبط بها. على سبيل المثال، يمكنك الاطّلاع على إرشادات بناء هوية العلامة التجارية لنطاقات "تسجيل الدخول باستخدام حساب Google".
- أثبِت ملكية النطاقات المعتمَدة لمشروعك ضمن Google Search Console. استخدِم حساب Google مرتبطًا بمشروعك على API Console بصفتك مالكًا أو محررًا.
- تأكَّد من أنّ جميع معلومات الهوية البصرية للعلامة التجارية على شاشة طلب الموافقة على OAuth، مثل اسم التطبيق والبريد الإلكتروني المخصّص للدعم ومعرّف الموارد المنتظم (URI) للصفحة الرئيسية ومعرّف الموارد المنتظم (URI) لسياسة الخصوصية وما إلى ذلك، تمثّل هوية التطبيق بدقة.
متطلبات الصفحة الرئيسية للتطبيق
يجب أن تستوفي صفحتك الرئيسية المتطلبات التالية:
- يجب أن تكون صفحتك الرئيسية متاحة للجميع، وليس فقط للمستخدمين الذين سجّلوا الدخول إلى موقعك الإلكتروني.
- يجب أن تكون صلة صفحتك الرئيسية بالتطبيق قيد المراجعة واضحة.
- لا تُعتبر الروابط المؤدية إلى بطاقة بيانات تطبيقك على "متجر Google Play" أو صفحته على Facebook صفحات رئيسية صالحة للتطبيق.
متطلبات رابط سياسة الخصوصية للتطبيق
يجب التأكّد من أنّ سياسة الخصوصية في تطبيقك تستوفي المتطلبات التالية:
- يجب أن تكون سياسة الخصوصية مرئية للمستخدمين، وأن تتم استضافتها ضمن النطاق نفسه الذي تتم فيه استضافة الصفحة الرئيسية لتطبيقك، وأن يتم ربطها بشاشة طلب الموافقة عبر OAuth في Google API Console. يُرجى العِلم أنّ الصفحة الرئيسية يجب أن تتضمّن وصفًا لوظائف التطبيق، بالإضافة إلى روابط تؤدي إلى سياسة الخصوصية وبنود الخدمة الاختيارية.
- يجب أن تفصح سياسة الخصوصية عن الطريقة التي يصل بها تطبيقك إلى بيانات مستخدمي Google أو يستخدمها أو يخزّنها أو يشاركها. يجب أن تلتزم سياسة الخصوصية بسياسة بيانات المستخدمين في خدمات Google API ومتطلبات الاستخدام المحدود للنطاقات المحدودة. يجب أن يقتصر استخدامك لبيانات مستخدمي Google على الممارسات التي تفصح عنها سياسة الخصوصية المنشورة لديك.
- راجِع أمثلة على حالات لسياسات الخصوصية التي لا تستوفي متطلبات سياسة الاستخدام المحدود.
كيفية إرسال تطبيقك لإثبات ملكية العلامة التجارية
يساعد مشروع Google Cloud Console في تنظيم جميع موارد Cloud Console. يتألف المشروع من مجموعة من حسابات Google المرتبطة التي لديها الإذن بتنفيذ عمليات المشروع، ومجموعة من واجهات برمجة التطبيقات المفعَّلة، وإعدادات الفوترة والمصادقة والمراقبة لهذه الواجهات. على سبيل المثال، يمكن أن يحتوي المشروع على عميل OAuth واحد أو أكثر، ويمكن ضبط واجهات برمجة التطبيقات ليستخدمها هؤلاء العملاء، وضبط شاشة طلب الموافقة عبر OAuth التي تظهر للمستخدمين قبل أن يمنحوا الإذن بالوصول إلى تطبيقك.
إذا لم يكن أي من عملاء OAuth جاهزًا للإنتاج، ننصحك بحذفه من المشروع الذي يطلب التحقّق. يمكنك إجراء ذلك في صفحة "العملاء".
لإرسال طلب إثبات الملكية، اتّبِع الخطوات التالية:
- تأكَّد من أنّ تطبيقك يلتزم ببنود خدمة Google APIs وسياسة بيانات المستخدمين في خدمات Google API.
- يجب الحرص على تحديث أدوار المالك والمحرّر للحسابات المرتبطة بمشروعك، بالإضافة إلى عنوان البريد الإلكتروني المخصّص لدعم المستخدمين في شاشة طلب الموافقة على OAuth ومعلومات الاتصال بالمطوّر في Cloud Console. يضمن ذلك إبلاغ الأعضاء المعنيين في فريقك بأي متطلبات جديدة.
- انتقِل إلى صفحة الهوية البصرية في Cloud Console OAuth.
- انقر على الزر أداة اختيار المشروع.
في مربّع الحوار الاختيار من الذي يظهر، اختَر مشروعك. إذا لم تتمكّن من العثور على مشروعك ولكنك تعرف رقم تعريف المشروع، يمكنك إنشاء عنوان URL في المتصفّح بالتنسيق التالي:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
استبدِل [PROJECT_ID] برقم تعريف المشروع الذي تريد استخدامه.
في صفحة العلامة التجارية، قدِّم معلومات العلامة التجارية لتطبيقك، بما في ذلك اسم التطبيق وشعاره ومعلومات الاتصال بالمطوّر والروابط ذات الصلة. يتم حفظ أي تغييرات تجريها كـ مسودة هوية بصرية.
انقر على الزر التحقّق من الهوية البصرية للعلامة التجارية لبدء عملية التقييم. تكتمل المراجعة المبرمَجة عادةً في غضون بضع دقائق.
بعد اكتمال التقييم، راجِع الحالة. في حال نجاح العملية، تتغيّر الحالة إلى جاهز للنشر. إذا تعذّر إكمال عملية التحقّق التلقائية، يمكنك الاطّلاع على المشاكل التي تم رصدها وحلّها أو طلب إجراء مراجعة يدوية.
انقر على الزر نشر الهوية البصرية لنشر الهوية البصرية الجديدة.
إذا كان تطبيقك يتطلّب أيضًا التحقّق من النطاقات الحساسة أو المحظورة، يُرجى الانتقال إلى مركز التحقّق من OAuth لتتبُّع حالة الوصول إلى البيانات وتقديم أي معلومات إضافية مطلوبة، مثل فيديو توضيحي. يُرجى العِلم أنّه يجب أن تكون حالة الهوية البصرية للعلامة التجارية منشورة قبل أن تتمكّن من طلب التحقّق من الوصول إلى البيانات.
استخدِم الزر إضافة نطاقات أو إزالتها للإفصاح عن جميع النطاقات التي يطلبها تطبيقك. تتم تعبئة مجموعة أولية من النطاقات اللازمة لميزة "تسجيل الدخول باستخدام حساب Google" مسبقًا في قسم النطاقات غير الحسّاسة. يتم تصنيف النطاقات المضافة على أنّها غير حساسة أو حساسة أو محظورة.
أدخِل ما يصل إلى ثلاثة روابط تؤدي إلى أي مستندات ذات صلة بالميزات المرتبطة في تطبيقك.
قدِّم أي معلومات إضافية مطلوبة عن تطبيقك في الخطوات اللاحقة.
- تأكَّد من امتثال تطبيقك للمتطلبات الإضافية لنطاقات واجهة برمجة التطبيقات المحدّدة، والتي تشمل إجراء تقييم سنوي للأمان إذا كان تطبيقك يصل إلى بيانات مستخدمي Google في النطاق المحدود من خادم تابع لجهة خارجية أو من خلاله.
- تأكَّد من أنّ تطبيقك من الأنواع المسموح بها والمحدّدة في قسم الاستخدام المحدود في صفحة المتطلبات الإضافية لنطاقات معيّنة في واجهة برمجة التطبيقات.
- إذا كان تطبيقك عبارة عن منصة لتنفيذ المهام آليًا، يجب أن يوضّح الفيديو التوضيحي كيفية إنشاء وتنفيذ العديد من مهام سير عمل واجهة برمجة التطبيقات آليًا، والاتجاهات التي تتدفق فيها بيانات المستخدمين.
- يُرجى إعداد فيديو يوضّح بالكامل كيفية بدء المستخدم لمنح إذن الوصول إلى النطاقات المطلوبة، ويعرض بالتفصيل كيفية استخدام النطاقات الحسّاسة والمحظورة التي تم منحها في التطبيق. يُرجى تحميل الفيديو إلى "استوديو YouTube" وضبط مستوى العرض على غير مُدرَج. يجب تقديم رابط يؤدي إلى الفيديو التوضيحي في حقل رابط YouTube.
- اعرض عملية منح الإذن باستخدام OAuth التي سيراها المستخدمون، باللغة الإنجليزية. ويشمل ذلك مسار الموافقة ومسار تسجيل الدخول إذا كنت تستخدم ميزة "تسجيل الدخول باستخدام حساب Google".
- أظهِر أنّ شاشة طلب الموافقة المتعلّقة ببروتوكول OAuth تعرض اسم التطبيق بشكل صحيح.
- يجب إظهار أنّ شريط عناوين المتصفّح في شاشة طلب الموافقة عبر OAuth يتضمّن معرّف عميل OAuth الخاص بتطبيقك بشكل صحيح.
- لتوضيح كيفية استخدام البيانات، اعرض الوظائف التي يتيحها كل نطاق حسّاس ومحظور تطلبه.
- إذا كنت تستخدم عدة عملاء، وبالتالي لديك عدة معرّفات عملاء OAuth، عليك توضيح كيفية الوصول إلى البيانات على كل عميل OAuth.
- اختَر نوع التطبيق المسموح به من قائمة "ما هي الميزات التي ستستخدمها؟".
- يُرجى وصف كيفية استخدام النطاقات المحدودة في تطبيقك وسبب عدم كفاية النطاقات المحدودة أكثر.
بعد نشر هوية علامتك التجارية أو إرسال طلب للوصول إلى البيانات، قد يتواصل معك فريق الثقة والأمان في Google عبر البريد الإلكتروني لطلب أي معلومات إضافية أو خطوات يجب إكمالها. يُرجى مراجعة عناوين بريدك الإلكتروني في قسم معلومات الاتصال بالمطوّر وعنوان البريد الإلكتروني المخصّص للدعم في شاشة طلب الموافقة عبر OAuth للاطّلاع على طلبات الحصول على معلومات إضافية. يمكنك أيضًا الاطّلاع على صفحتَي "العلامة التجارية" أو "مركز التحقّق" في مشروعك للتأكّد من حالة المراجعة الحالية لمشروعك، بما في ذلك ما إذا كانت عملية المراجعة متوقفة مؤقتًا في انتظار ردّك.
استثناءات من متطلبات التحقّق
إذا كان سيتم استخدام تطبيقك في أي من السيناريوهات الموضحة في الأقسام التالية، فلن تحتاج إلى إرساله للمراجعة.
الاستخدام الشخصي
من حالات الاستخدام أن تكون أنت المستخدم الوحيد لتطبيقك أو أن يكون تطبيقك مستخدَمًا من قِبل عدد قليل من المستخدمين الذين تعرفهم شخصيًا. قد لا تمانع أنت وعدد محدود من المستخدمين في المتابعة من خلال شاشة التطبيق الذي لم يتم التحقّق منه ومنح حساباتك الشخصية إذن الوصول إلى تطبيقك.
المشاريع المستخدَمة في مستويات التطوير أو الاختبار أو الإعداد
للالتزام بسياسات Google OAuth 2.0، ننصحك بإنشاء مشاريع مختلفة لبيئات الاختبار وبيئة التشغيل الفعلي. ننصحك بإرسال تطبيقك للتحقّق منه فقط إذا أردت إتاحته لأي مستخدم لديه حساب على Google. لذلك، إذا كان تطبيقك في مرحلة التطوير أو الاختبار أو الإعداد، لن يكون التحقّق مطلوبًا.
إذا كان تطبيقك في مرحلة التطوير أو الاختبار، يمكنك ترك حالة النشر في الإعداد التلقائي الاختبار. يعني هذا الإعداد أنّ تطبيقك لا يزال قيد التطوير، وهو متاح فقط للمستخدمين الذين تضيفهم إلى قائمة المستخدمين الذين يختبرون التطبيق. يجب إدارة قائمة حسابات Google التي تشارك في تطوير تطبيقك أو اختباره.
البيانات التي تملكها الخدمة فقط
إذا كان تطبيقك يستخدم حساب خدمة للوصول إلى بياناته فقط، ولا يصل إلى أي بيانات مستخدم (مرتبطة بحساب Google)، لن تحتاج إلى إرسال طلب التحقّق.
لفهم المقصود بحسابات الخدمة، يُرجى الاطّلاع على حسابات الخدمة في مستندات Google Cloud. للحصول على تعليمات حول كيفية استخدام حساب خدمة، يُرجى الاطّلاع على استخدام OAuth 2.0 لتطبيقات الخادم إلى الخادم.
الاستخدام الداخلي فقط
يعني ذلك أنّ التطبيق لا يستخدمه سوى المستخدمين في مؤسستك على Google Workspace أو Cloud Identity. يجب أن يكون المشروع مملوكًا للمؤسسة، ويجب ضبط شاشة طلب الموافقة المتعلّقة ببروتوكول OAuth لنوع المستخدم داخلي. في هذه الحالة، قد يحتاج تطبيقك إلى موافقة من مشرف المؤسسة. لمزيد من المعلومات، يُرجى الاطّلاع على اعتبارات إضافية بشأن Google Workspace.
- مزيد من المعلومات حول التطبيقات العامة والداخلية
- يمكنك التعرّف على كيفية وضع علامة على تطبيقك بأنّه داخلي في قسم الأسئلة الشائعة كيف يمكنني وضع علامة على تطبيقي بأنّه داخلي فقط؟
التثبيت على مستوى النطاق
إذا كنت تخطط لأن يستهدف تطبيقك مستخدمي مؤسسة Google Workspace أو Cloud Identity فقط وأن يستخدم دائمًا التثبيت على مستوى النطاق، لن يتطلّب تطبيقك التحقّق من العلامة التجارية. ومع ذلك، إذا كان تطبيقك يستخدم نطاقات محدودة أو حساسة، يجب التحقق من التطبيق. ويرجع ذلك إلى أنّ التثبيت على مستوى النطاق يتيح لمشرف النطاق منح التطبيقات الداخلية والتطبيقات التابعة لجهات خارجية إذن الوصول إلى بيانات المستخدمين. مشرفو المؤسسة هم الحسابات الوحيدة التي يمكنها إضافة التطبيق إلى قائمة مسموح بها لاستخدامه ضمن نطاقاتهم.
تعرَّف على كيفية جعل تطبيقك متاحًا للتثبيت على مستوى النطاق في قسم الأسئلة الشائعة يضم تطبيقي مستخدمين لديهم حسابات عمل من نطاق Google Workspace آخر.