Certaines API Google (celles qui acceptent les champs d'application sensibles ou restreints) imposent des exigences aux applications qui demandent l'autorisation d'accéder aux données des clients. Ces exigences supplémentaires pour les champs d'application restreints imposent à une application de prouver qu'elle est d'un type autorisé et de se soumettre à des examens supplémentaires, qui incluent une éventuelle évaluation de la sécurité.
L'applicabilité des champs d'application restreints dans une API dépend principalement du degré d'accès requis pour fournir une fonctionnalité pertinente dans votre application : lecture seule, écriture seule, lecture et écriture, etc.
Lorsque vous utilisez OAuth 2.0 pour obtenir l'autorisation d'accéder à ces données à partir d'un compte Google, vous utilisez des chaînes appelées champs d'application pour spécifier le type de données auquel vous souhaitez accéder et le niveau d'accès dont vous avez besoin. Si votre application demande des niveaux d'accès sensibles ou restreints, vous devez suivre la procédure de validation, sauf si l'utilisation de votre application est éligible à une exception.
Les champs d'application restreints sont moins nombreux que les champs d'application sensibles. La FAQ sur la validation de l'API OAuth contient la liste actuelle des champs d'application sensibles et restreints. Ces champs d'application fournissent un accès étendu aux données utilisateur Google et nécessitent que vous suiviez une procédure de validation des champs d'application avant de les demander à un compte Google. Pour en savoir plus sur cette exigence, consultez les Règles sur les données utilisateur pour les services des API Google et les Exigences supplémentaires pour des champs d'application d'API spécifiques ou la page Google Developer spécifique au produit. Si vous stockez ou transmettez des données de champ d'application restreint sur des serveurs, vous devez effectuer une évaluation de la sécurité.
Comprendre les champs d'application restreints
Si votre application demande des champs d'application restreints et ne peut pas bénéficier d'une exception, vous devez respecter les exigences supplémentaires pour des champs d'application d'API spécifiques du Règlement sur les données utilisateur pour les services des API Google, ou les exigences spécifiques au produit sur la page Google Developers du produit, qui nécessite un processus d'examen plus approfondi.
Comprendre l'utilisation de vos champs d'application
- Examinez les champs d'application que votre application utilise ou que vous souhaitez utiliser. Pour identifier les champs d'application que vous utilisez actuellement, examinez le code source de votre application pour détecter les champs d'application envoyés avec les demandes d'autorisation.
- Déterminez si chaque niveau d'accès demandé est nécessaire pour les actions prévues de la fonctionnalité de votre application et s'il utilise le moindre privilège nécessaire pour fournir la fonctionnalité. Une API Google dispose généralement d'une documentation de référence sur la page Google Developers du produit pour ses points de terminaison, qui inclut le champ d'application requis pour appeler le point de terminaison ou des propriétés spécifiques qu'il contient. Pour en savoir plus sur les niveaux d'accès nécessaires pour les points de terminaison de l'API appelés par votre application, consultez la documentation de référence de ces points de terminaison. Par exemple, pour une application qui n'utilise les API Gmail que pour envoyer occasionnellement des e-mails au nom d'un utilisateur, ne demandez pas le niveau d'accès qui fournit un accès complet aux données de messagerie de l'utilisateur.
- Les données que vous recevez d'une API Google ne doivent être utilisées que conformément aux règles de l'API et de la manière que vous présentez à vos utilisateurs dans les actions de votre application et dans vos règles de confidentialité.
- Consultez la documentation de l'API pour en savoir plus sur chaque champ d'application, y compris son état potentiel sensible ou restreint.
- Déclarez tous les champs d'application utilisés par votre application sur la page Accès aux données de la console Cloud. Les champs d'application que vous spécifiez sont regroupés dans des catégories sensibles ou restreintes afin de mettre en évidence toute validation supplémentaire requise.
- Trouvez le champ d'application le plus adapté aux données utilisées par votre intégration, comprenez son utilisation, vérifiez que tout fonctionne toujours dans un environnement de test, puis préparez-vous à envoyer votre demande de validation.
Veillez à tenir compte du temps nécessaire pour effectuer la validation dans le plan de lancement de votre application ou de toute nouvelle fonctionnalité nécessitant un nouveau champ d'application. L'une de ces exigences supplémentaires s'applique si l'application accède ou peut accéder aux données utilisateur Google depuis ou via un serveur. Dans ce cas, le système doit faire l'objet d'une évaluation de sécurité annuelle par un évaluateur tiers indépendant approuvé par Google. C'est pourquoi la procédure de validation des champs d'application restreints peut prendre plusieurs semaines. Notez que toutes les applications doivent d'abord passer par l'étape de validation de la marque, qui prend généralement deux à trois jours ouvrés, si les informations sur la marque ont changé depuis la dernière validation de l'écran de consentement OAuth.
Types d'applications autorisés
Certains types d'applications peuvent accéder à des champs d'application restreints pour chaque produit. Vous trouverez les types d'applications sur la page Google Developers spécifique au produit (par exemple, le règlement de l'API Gmail).
Il vous incombe de comprendre et de déterminer le type de votre application. Toutefois, si vous n'êtes pas sûr du type de votre application, vous pouvez ne sélectionner aucune option pour la question Quelles fonctionnalités allez-vous utiliser ? lorsque vous envoyez l'application pour validation. L'équipe de validation de l'API Google déterminera ensuite le type d'application.
Security assessment
Toute application qui demande l'accès aux données restreintes des utilisateurs Google et qui peut accéder aux données depuis ou via un serveur tiers doit faire l'objet d'une évaluation de sécurité par des évaluateurs de sécurité Google. Cette évaluation permet de protéger les données des utilisateurs de Google en vérifiant que toutes les applications qui accèdent à ces données sont capables de les traiter de manière sécurisée et de les supprimer à la demande de l'utilisateur.
Pour standardiser notre évaluation de la sécurité, nous utilisons l'App Defense Alliance et le framework d'évaluation de la sécurité des applications cloud (CASA).
Comme indiqué précédemment, pour conserver l'accès aux champs d'application restreints validés, les applications doivent être validées à nouveau pour vérifier leur conformité et faire l'objet d'une évaluation de sécurité au moins tous les 12 mois après la date d'approbation de la lettre d'évaluation (LOA) de votre évaluateur. Si votre application ajoute un nouveau champ d'application restreint, elle devra peut-être être réévaluée pour couvrir le champ d'application supplémentaire s'il n'était pas inclus dans une évaluation de sécurité précédente.
L'équipe d'examen de Google vous envoie un e-mail lorsqu'il est temps de recertifier votre application. Pour vous assurer que les membres appropriés de votre équipe sont informés de cette application annuelle, associez des comptes Google supplémentaires à votre projet de la console Cloud en tant que propriétaire ou éditeur. Il est également utile de tenir à jour les adresses e-mail d'assistance utilisateur et de contact du développeur spécifiées sur la page de branding OAuth de la console Google Cloud.
Étapes à suivre pour préparer la validation
Toutes les applications qui utilisent les API Google pour demander l'accès aux données doivent suivre les étapes ci-dessous pour valider la marque :
- Vérifiez que votre application ne correspond à aucun des cas d'utilisation de la section Exceptions aux exigences de validation.
- Assurez-vous que votre application respecte les exigences relatives aux marques des API ou du produit associés. Par exemple, consultez les consignes relatives à la marque pour les champs d'application Google Sign-In.
- Validez la propriété des domaines autorisés de votre projet dans la Google Search Console. Utilisez un compte Google associé à votre projet de console d'API en tant que propriétaire ou éditeur.
- Assurez-vous que toutes les informations de branding sur l'écran de consentement OAuth, telles que le nom de l'application, l'adresse e-mail d'assistance, l'URI de la page d'accueil, l'URI des règles de confidentialité, etc., représentent précisément l'identité de l'application.
Exigences concernant la page d'accueil de l'application
Assurez-vous que votre page d'accueil respecte les exigences suivantes :
- Votre page d'accueil doit être accessible au public, et pas seulement aux utilisateurs connectés à votre site.
- La pertinence de votre page d'accueil par rapport à l'application examinée doit être évidente.
- Les liens vers la fiche de votre application sur le Google Play Store ou vers sa page Facebook ne sont pas considérés comme des pages d'accueil d'application valides.
Exigences concernant le lien vers les règles de confidentialité de l'application
Assurez-vous que les règles de confidentialité de votre application respectent les exigences suivantes :
- Les règles de confidentialité doivent être visibles par les utilisateurs, hébergées sur le même domaine que la page d'accueil de votre application et accessibles via un lien sur l'écran de consentement OAuth de la console Google APIs. Notez que la page d'accueil doit inclure une description des fonctionnalités de l'application, ainsi que des liens vers les règles de confidentialité et les conditions d'utilisation facultatives.
- Ces règles doivent décrire la manière dont votre application accède aux données utilisateur Google, les utilise, les stocke ou les partage. Les règles de confidentialité doivent respecter le Règlement sur les données utilisateur des services d'API Google et les exigences d'utilisation limitée pour les champs d'application restreints. Vous devez limiter votre utilisation des données utilisateur Google aux pratiques mentionnées dans vos règles de confidentialité publiées.
- Consultez des exemples de règles de confidentialité qui ne respectent pas les exigences d'utilisation limitée.
Envoyer votre application pour validation de la marque
Un projet Google Cloud Console organise toutes vos ressources Cloud Console. Un projet se compose d'un ensemble de comptes Google associés autorisés à effectuer des opérations sur le projet, d'un ensemble d'API activées, ainsi que de paramètres de facturation, d'authentification et de surveillance pour ces API. Par exemple, un projet peut contenir un ou plusieurs clients OAuth, configurer des API à utiliser par ces clients et configurer un écran de consentement OAuth qui s'affiche pour les utilisateurs avant qu'ils n'autorisent l'accès à votre application.
Si l'un de vos clients OAuth n'est pas prêt pour la production, nous vous suggérons de le supprimer du projet qui demande la validation. Pour ce faire, accédez à la page "Clients".
Pour envoyer votre demande de validation, procédez comme suit :
- Assurez-vous que votre application respecte les Conditions d'utilisation des API Google et le Règlement sur les données utilisateur dans les services d'API Google.
- Maintenez à jour les rôles de propriétaire et d'éditeur des comptes associés à votre projet, ainsi que l'adresse e-mail d'assistance utilisateur et les coordonnées du développeur de votre écran de consentement OAuth, dans la console Cloud. Cela permet de s'assurer que les membres concernés de votre équipe sont informés de toute nouvelle exigence.
- Accédez à la page Branding OAuth de la console Cloud.
- Cliquez sur le bouton Sélecteur de projet.
Dans la boîte de dialogue Sélectionner qui s'affiche, sélectionnez votre projet. Si vous ne trouvez pas votre projet, mais que vous connaissez son ID, vous pouvez créer une URL dans votre navigateur au format suivant :
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Remplacez [PROJECT_ID] par l'ID du projet que vous souhaitez utiliser.
Sur la page Branding, fournissez les informations de branding de votre application, y compris son nom, son logo, les coordonnées du développeur et les liens pertinents. Toutes les modifications que vous apportez sont enregistrées en tant que brouillon de branding.
Cliquez sur le bouton Valider l'image de marque pour lancer le processus d'évaluation. L'examen automatique prend généralement quelques minutes.
Une fois l'évaluation terminée, examinez l'état. Si l'opération réussit, l'état passe à Prêt à être publié. Si la validation automatique échoue, vous pouvez consulter les problèmes détectés et les corriger, ou demander un examen manuel.
Cliquez sur le bouton Publier l'image de marque pour appliquer la nouvelle image de marque.
Si votre application nécessite également une validation pour les champs d'application sensibles ou restreints, accédez au Centre de validation OAuth pour suivre l'état de l'accès aux données et fournir les informations supplémentaires demandées, comme une vidéo de démonstration. Notez que vous devez disposer d'un branding publié avant de pouvoir demander la validation de l'accès aux données.
Utilisez le bouton Ajouter ou supprimer des champs d'application pour déclarer tous les champs d'application demandés par votre application. Un ensemble initial de champs d'application nécessaires à Google Sign-In est prérempli dans la section Champs d'application non sensibles. Les champs d'application ajoutés sont classés comme non sensibles, sensibles ou restreints.
Fournissez un maximum de trois liens vers toute documentation pertinente pour les fonctionnalités associées de votre application.
Fournissez toutes les informations supplémentaires demandées sur votre application lors des étapes suivantes.
- Assurez-vous que votre application respecte les exigences supplémentaires pour des champs d'application d'API spécifiques, ce qui inclut de se soumettre à une évaluation de sécurité annuelle si votre application accède aux données des utilisateurs Google d'un champ d'application restreint depuis ou via un serveur tiers.
- Assurez-vous que votre application fait partie des types autorisés spécifiés dans la section Utilisation limitée de la page Exigences supplémentaires pour des champs d'application d'API spécifiques.
- Si votre application est une plate-forme d'automatisation des tâches, votre vidéo de démonstration doit montrer comment plusieurs workflows d'API sont créés et automatisés, et dans quelles directions les données utilisateur circulent.
- Préparez une vidéo qui montre clairement comment un utilisateur lance et accorde l'accès aux champs d'application demandés, et qui montre en détail l'utilisation des champs d'application sensibles et restreints accordés dans l'application. Importez la vidéo dans YouTube Studio et définissez la visibilité sur Non répertoriée. Vous devez fournir un lien vers la vidéo de démonstration dans le champ "Lien YouTube".
- Montrez le processus d'authentification OAuth que les utilisateurs suivront, en anglais. Cela inclut le flux de consentement et, si vous utilisez Google Sign-In, le flux de connexion.
- Montrez que l'écran de consentement OAuth affiche correctement le nom de l'application.
- Montrez que la barre d'adresse du navigateur de l'écran de consentement OAuth inclut correctement l'ID client OAuth de votre application.
- Pour montrer comment les données seront utilisées, présentez la fonctionnalité activée par chaque champ d'application sensible et restreint que vous demandez.
- Si vous utilisez plusieurs clients et que vous disposez donc de plusieurs ID client OAuth, montrez comment les données sont accessibles sur chaque client OAuth.
- Sélectionnez votre type d'application autorisé dans la liste "Quelles fonctionnalités allez-vous utiliser ?".
- Décrivez comment vous utiliserez les champs d'application restreints dans votre application et pourquoi des champs d'application plus limités ne suffisent pas.
Une fois que vous avez publié votre branding ou envoyé une demande d'accès aux données, l'équipe Trust & Safety de Google peut vous contacter par e-mail pour vous demander des informations supplémentaires ou vous indiquer les étapes à suivre. Vérifiez vos adresses e-mail dans la section Coordonnées du développeur et l'adresse e-mail d'assistance de votre écran de consentement OAuth pour les demandes d'informations supplémentaires. Vous pouvez également consulter les pages "Branding" ou "Centre de validation" de votre projet pour confirmer l'état actuel de l'examen de votre projet, y compris si le processus d'examen est suspendu en attendant votre réponse.
Exceptions aux exigences de validation
Si votre application est utilisée dans l'un des scénarios décrits dans les sections suivantes, vous n'avez pas besoin de l'envoyer pour examen.
Usage personnel
Par exemple, si vous êtes le seul utilisateur de votre application ou si elle n'est utilisée que par quelques personnes que vous connaissez personnellement. Vous et votre nombre limité d'utilisateurs pouvez être à l'aise avec l'idée de passer l'écran d'application non validée et d'accorder à vos comptes personnels l'accès à votre application.
Projets utilisés dans les niveaux de développement, de test ou de préproduction
Pour respecter les règles Google OAuth 2.0, nous vous recommandons d'utiliser des projets différents pour les environnements de test et de production. Nous vous recommandons de n'envoyer votre application pour validation que si vous souhaitez la mettre à la disposition de tous les utilisateurs disposant d'un compte Google. Par conséquent, si votre application est en phase de développement, de test ou de préproduction, la validation n'est pas requise.
Si votre application est en phase de développement ou de test, vous pouvez laisser l'état de publication sur le paramètre par défaut Test. Ce paramètre signifie que votre application est toujours en cours de développement et qu'elle n'est disponible que pour les utilisateurs que vous ajoutez à la liste des utilisateurs de test. Vous devez gérer la liste des comptes Google impliqués dans le développement ou le test de votre application.
Données appartenant au service uniquement
Si votre application utilise un compte de service pour accéder uniquement à ses propres données et qu'elle n'accède à aucune donnée utilisateur (associée à un compte Google), vous n'avez pas besoin de l'envoyer pour validation.
Pour comprendre ce que sont les comptes de service, consultez Comptes de service dans la documentation Google Cloud. Pour savoir comment utiliser un compte de service, consultez Utiliser OAuth 2.0 pour les applications de serveur à serveur.
Usage interne uniquement
Cela signifie que l'application n'est utilisée que par les membres de votre organisation Google Workspace ou Cloud Identity. Le projet doit appartenir à l'organisation, et son écran de consentement OAuth doit être configuré pour un type d'utilisateur interne. Dans ce cas, votre application peut nécessiter l'approbation d'un administrateur de l'organisation. Pour en savoir plus, consultez Remarques supplémentaires concernant Google Workspace.
- Apprenez-en plus sur les applications publiques et internes.
- Découvrez comment marquer votre application comme interne dans la FAQ Comment puis-je marquer mon application comme étant réservée à un usage interne ?
Installation au niveau du domaine
Si vous prévoyez que votre application ne cible que les utilisateurs d'une organisation Google Workspace ou Cloud Identity et qu'elle utilise toujours l'installation à l'échelle du domaine, elle n'aura pas besoin de validation de la marque. Toutefois, si votre application utilise des champs d'application restreints ou sensibles, la validation de l'application est requise. En effet, une installation au niveau du domaine permet à un administrateur de domaine d'autoriser des applications tierces et internes à accéder aux données de vos utilisateurs. Seuls les administrateurs de l'organisation peuvent ajouter l'application à une liste d'autorisation pour l'utiliser dans leurs domaines.
Pour savoir comment installer votre application à l'échelle du domaine, consultez la question Mon application compte des utilisateurs disposant de comptes d'entreprise d'un autre domaine Google Workspace dans les questions fréquentes.