Niektóre interfejsy API Google (te, które akceptują zakresy wrażliwe lub z ograniczeniami) mają wymagania dotyczące aplikacji, które chcą uzyskać uprawnienia dostępu do danych konsumentów. Te dodatkowe wymagania dotyczące zakresów z ograniczeniami wymagają od aplikacji wykazania, że jest ona dozwolonego typu, i poddania się dodatkowym weryfikacjom, które mogą obejmować ocenę bezpieczeństwa.
Możliwość stosowania zakresów z ograniczeniami w interfejsie API zależy głównie od stopnia dostępu wymaganego do udostępnienia odpowiedniej funkcji w aplikacji: tylko do odczytu, tylko do zapisu, do odczytu i zapisu itp.
Gdy używasz protokołu OAuth 2.0, aby uzyskać uprawnienia dostępu do tych danych z konta Google, używasz ciągów znaków nazywanych zakresami, aby określić typ danych, do których chcesz uzyskać dostęp, oraz zakres dostępu. Jeśli Twoja aplikacja prosi o zakresy wrażliwe lub z ograniczeniami, musisz przejść proces weryfikacji, chyba że sposób korzystania z aplikacji kwalifikuje się do wyjątku.
Zakresów z ograniczeniami jest mniej niż zakresów wrażliwych. Aktualną listę zakresów poufnych i ograniczonych znajdziesz w najczęstszych pytaniach dotyczących weryfikacji interfejsu API OAuth. Te zakresy zapewniają szeroki dostęp do danych użytkowników Google i wymagają przejścia procesu weryfikacji zakresu, zanim poprosisz o zakresy z dowolnego konta Google. Informacje o tym wymaganiu znajdziesz w zasadach dotyczących danych użytkownika w usługach interfejsów API Google i dodatkowych wymaganiach dotyczących określonych zakresów interfejsów API lub na stronie Google Developers poświęconej konkretnemu produktowi. Jeśli przechowujesz lub przesyłasz dane o ograniczonym zakresie na serwerach, musisz przejść ocenę bezpieczeństwa.
Omówienie zakresów z ograniczonym dostępem
Jeśli Twoja aplikacja żąda dostępu do zakresów z ograniczeniami i nie kwalifikuje się do wyjątku, musisz spełnić dodatkowe wymagania dotyczące określonych zakresów interfejsu API opisane w zasadach dotyczących danych użytkownika w usługach interfejsów API Google lub wymagania dotyczące konkretnej usługi opisane na stronie Google Developers. W takim przypadku proces weryfikacji będzie bardziej szczegółowy.
Informacje o używaniu zakresów
- Sprawdź zakresy, których używa Twoja aplikacja lub których chcesz używać. Aby sprawdzić, jakich zakresów obecnie używasz, przejrzyj kod źródłowy aplikacji pod kątem zakresów wysyłanych z żądaniami autoryzacji.
- Ustal, czy każdy żądany zakres jest niezbędny do działania funkcji aplikacji i czy używa jak najmniejszych uprawnień wymaganych do jej działania. Interfejs API Google zwykle ma dokumentację referencyjną na stronie Google Developers dotyczącą punktów końcowych, która zawiera zakres wymagany do wywołania punktu końcowego lub określonych właściwości w nim. Więcej informacji o niezbędnych zakresach dostępu do punktów końcowych interfejsu API wywoływanych przez aplikację znajdziesz w dokumentacji referencyjnej tych punktów końcowych. Na przykład w przypadku aplikacji, która używa interfejsów Gmail API tylko do okazjonalnego wysyłania e-maili w imieniu użytkownika, nie proś o zakres, który zapewnia pełny dostęp do danych poczty e-mail użytkownika.
- Dane otrzymywane z interfejsu API Google mogą być używane tylko zgodnie z zasadami tego interfejsu API i w sposób, który przedstawiasz użytkownikom w działaniach aplikacji i w polityce prywatności.
- Więcej informacji o każdym zakresie, w tym o jego potencjalnym stanie poufności lub ograniczenia, znajdziesz w dokumentacji interfejsu API.
- Zadeklaruj wszystkie zakresy używane przez aplikację na stronie Dostęp do danych w konsoli Cloud. Określone przez Ciebie zakresy są grupowane w kategorie wrażliwe lub z ograniczeniami, aby wyróżnić dodatkową weryfikację, która jest wymagana.
- Znajdź najlepszy zakres, który pasuje do danych używanych przez Twoją integrację, dowiedz się, jak jest używany, sprawdź, czy wszystko nadal działa w środowisku testowym, a następnie przygotuj się do przesłania do weryfikacji.
Pamiętaj, aby w planie wprowadzenia aplikacji lub nowych funkcji, które wymagają nowego zakresu, uwzględnić czas potrzebny na przejście weryfikacji. Jedno z tych dodatkowych wymagań dotyczy sytuacji, gdy aplikacja uzyskuje dostęp do danych użytkownika Google z serwera lub za jego pośrednictwem albo ma taką możliwość. W takich przypadkach system musi przejść coroczną ocenę bezpieczeństwa przeprowadzaną przez niezależnego, zewnętrznego rzeczoznawcę zatwierdzonego przez Google. Z tego powodu proces weryfikacji zakresów z ograniczeniami może potrwać kilka tygodni. Pamiętaj, że wszystkie aplikacje muszą najpierw przejść weryfikację marki, co zwykle zajmuje 2–3 dni robocze, jeśli informacje o marce zmieniły się od czasu ostatniej zatwierdzonej weryfikacji ekranu zgody OAuth.
Dozwolone typy aplikacji
Niektóre typy aplikacji mogą uzyskiwać dostęp do zakresów z ograniczeniami w przypadku każdej usługi. Typy aplikacji znajdziesz na stronie Google Developers dotyczącej konkretnego produktu (np. zasady dotyczące interfejsu Gmail API).
Twoim obowiązkiem jest zapoznanie się z typami aplikacji i określenie, który z nich dotyczy Twojej aplikacji. Jeśli jednak nie masz pewności co do typu aplikacji, podczas przesyłania jej do weryfikacji możesz nie wybierać żadnych opcji w odpowiedzi na pytanie Z jakich funkcji będziesz korzystać?. Zespół ds. weryfikacji interfejsów API Google określi typ aplikacji.
Ocena bezpieczeństwa
Każda aplikacja, która prosi o dostęp do danych użytkowników Google objętych ograniczeniami i może uzyskiwać dostęp do danych z serwera innej firmy lub za jego pośrednictwem, musi przejść ocenę bezpieczeństwa przeprowadzaną przez powołanych przez Google ekspertów. Ta ocena pomaga chronić dane użytkowników Google, ponieważ weryfikuje, czy wszystkie aplikacje, które mają dostęp do danych użytkowników Google, są w stanie bezpiecznie przetwarzać dane i usuwać je na żądanie użytkownika.
Aby ujednolicić ocenę bezpieczeństwa, korzystamy z App Defense Alliance i platformy oceny bezpieczeństwa aplikacji w chmurze (CASA).
Jak wspomnieliśmy wcześniej, aby zachować dostęp do zweryfikowanych zakresów z ograniczeniami, aplikacje muszą zostać ponownie zweryfikowane pod kątem zgodności i przejść ocenę bezpieczeństwa co najmniej co 12 miesięcy od daty zatwierdzenia listu z oceną (LOA) przez rzeczoznawcę. Jeśli Twoja aplikacja dodaje nowy zakres z ograniczeniami, może być konieczne jej ponowne sprawdzenie pod kątem dodatkowego zakresu, jeśli nie został on uwzględniony we wcześniejszej ocenie bezpieczeństwa.
Gdy nadejdzie czas na ponowną certyfikację aplikacji, zespół weryfikatorów Google wyśle Ci e-maila. Aby mieć pewność, że odpowiedni członkowie Twojego zespołu zostaną powiadomieni o tym corocznym egzekwowaniu, powiąż dodatkowe konta Google z projektem w konsoli Cloud jako właściciel lub edytujący. Pomaga też aktualizować adresy e-mail pomocy dla użytkowników i dewelopera, które są podane na stronie marki OAuth w konsoli Google Cloud.
Kroki, które należy wykonać, aby przygotować się do weryfikacji
Wszystkie aplikacje, które używają interfejsów API Google do żądania dostępu do danych, muszą wykonać te czynności, aby przejść weryfikację marki:
- Upewnij się, że Twoja aplikacja nie należy do żadnego z przypadków użycia wymienionych w sekcji Wyjątki od wymagań dotyczących weryfikacji.
- Upewnij się, że Twoja aplikacja jest zgodna z wymaganiami dotyczącymi marki powiązanych interfejsów API lub usług. Zobacz na przykład wskazówki dotyczące promowania marki w przypadku zakresów logowania przez Google.
- Potwierdź własność autoryzowanych domen projektu w Google Search Console. Użyj konta Google powiązanego z projektem w Konsoli interfejsów API jako właściciel lub edytujący.
- Upewnij się, że wszystkie informacje o marce na ekranie zgody OAuth, takie jak nazwa aplikacji, adres e-mail pomocy, identyfikator URI strony głównej, identyfikator URI polityki prywatności itp., dokładnie odzwierciedlają tożsamość aplikacji.
Wymagania dotyczące strony głównej aplikacji
Upewnij się, że strona główna spełnia te wymagania:
- Strona główna musi być dostępna publicznie, a nie tylko dla zalogowanych użytkowników witryny.
- Związek strony głównej ze sprawdzaną aplikacją musi być wyraźny.
- Linki do informacji o aplikacji w Sklepie Google Play lub na jej stronie na Facebooku nie są uznawane za prawidłowe strony główne aplikacji.
Wymagania dotyczące linku do polityki prywatności aplikacji
Upewnij się, że polityka prywatności Twojej aplikacji spełnia te wymagania:
- Polityka prywatności musi być widoczna dla użytkowników, hostowana w tej samej domenie co strona główna aplikacji i powiązana z ekranem zgody OAuth w Konsoli interfejsów API Google. Pamiętaj, że strona główna musi zawierać opis funkcji aplikacji, a także linki do polityki prywatności i opcjonalnych warunków korzystania z usługi.
- Polityka prywatności musi informować o tym, w jaki sposób aplikacja uzyskuje dostęp do danych użytkowników Google, wykorzystuje je, przechowuje i udostępnia. Polityka prywatności musi być zgodna z zasadami dotyczącymi danych użytkownika w usługach interfejsów API Google i wymaganiami dotyczącymi ograniczonego użycia w przypadku zakresów z ograniczeniami. Sposób wykorzystywania przez Ciebie danych użytkowników Google musi być ograniczony do praktyk opisanych w opublikowanej polityce prywatności.
- Zapoznaj się z przykładami polityk prywatności, które nie spełniają wymagań dotyczących ograniczonego wykorzystania.
Jak przesłać aplikację do weryfikacji marki
Projekt konsoli Google Cloud porządkuje wszystkie zasoby konsoli Cloud. Projekt składa się ze zbioru powiązanych kont Google, które mają uprawnienia do wykonywania operacji w projekcie, zbioru włączonych interfejsów API oraz ustawień rozliczeń, uwierzytelniania i monitorowania tych interfejsów API. Projekt może na przykład zawierać co najmniej 1 klienta OAuth, konfigurować interfejsy API do użycia przez tych klientów i konfigurować ekran zgody OAuth, który jest wyświetlany użytkownikom, zanim autoryzują dostęp do aplikacji.
Jeśli któryś z Twoich klientów OAuth nie jest gotowy do produkcji, zalecamy usunięcie go z projektu, który wymaga weryfikacji. Możesz to zrobić na stronie Klienci.
Aby przesłać prośbę o weryfikację:
- Upewnij się, że Twoja aplikacja jest zgodna z Warunkami korzystania z interfejsów API Google i Zasadami dotyczącymi danych użytkownika w usługach interfejsów API Google.
- Dbaj o to, aby role właściciela i edytującego na kontach powiązanych z projektem były aktualne. To samo dotyczy adresu e-mail do obsługi użytkowników na ekranie zgody OAuth oraz informacji kontaktowych dewelopera w konsoli Cloud. Dzięki temu odpowiedni członkowie zespołu będą powiadamiani o nowych wymaganiach.
- W konsoli Cloud otwórz stronę Marka.
- Kliknij przycisk Selektor projektu.
W wyświetlonym oknie Wybierz spośród wybierz swój projekt. Jeśli nie możesz znaleźć projektu, ale znasz identyfikator projektu, możesz utworzyć adres URL w przeglądarce w tym formacie:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Zastąp [PROJECT_ID] identyfikatorem projektu, którego chcesz użyć.
Na stronie Marka podaj informacje o marce aplikacji, w tym nazwę aplikacji, logo, informacje kontaktowe dewelopera i odpowiednie linki. Wszystkie wprowadzone zmiany zostaną zapisane jako Wersja robocza informacji o marce.
Kliknij przycisk Zweryfikuj markę, aby rozpocząć proces oceny. Sprawdzanie automatyczne zwykle trwa kilka minut.
Po zakończeniu oceny sprawdź stan. Jeśli się powiedzie, stan zmieni się na Gotowa do publikacji. Jeśli automatyczna weryfikacja się nie powiedzie, zobaczysz wykryte problemy i możesz je rozwiązać lub poprosić o ręczne sprawdzenie.
Kliknij przycisk Opublikuj markę, aby udostępnić nową markę.
Jeśli Twoja aplikacja wymaga też weryfikacji w przypadku zakresów wrażliwych lub z ograniczeniami, otwórz Centrum weryfikacji OAuth, aby śledzić stan dostępu do danych i podać dodatkowe informacje, np. film demonstracyjny. Pamiętaj, że zanim poprosisz o weryfikację dostępu do danych, musisz mieć opublikowane elementy marki.
Użyj przycisku Dodaj lub usuń zakresy, aby zadeklarować wszystkie zakresy, których wymaga Twoja aplikacja. Początkowy zestaw zakresów niezbędnych do logowania przez Google jest wstępnie wypełniony w sekcji Zakresy niepoufne. Dodane zakresy są klasyfikowane jako niewrażliwe, wrażliwe lub z ograniczeniami.
Podaj maksymalnie 3 linki do istotnej dokumentacji dotyczącej powiązanych funkcji w aplikacji.
W kolejnych krokach podaj dodatkowe informacje o aplikacji.
- Upewnij się, że Twoja aplikacja spełnia dodatkowe wymagania dotyczące określonych zakresów interfejsu API, które obejmują coroczną ocenę bezpieczeństwa, jeśli aplikacja uzyskuje dostęp do danych użytkowników Google o ograniczonym zakresie z serwera innej firmy lub za jego pośrednictwem.
- Upewnij się, że Twoja aplikacja jest jednym z dozwolonych typów określonych w sekcji Ograniczone użycie na stronie Dodatkowe wymagania dotyczące określonych zakresów interfejsu API.
- Jeśli Twoja aplikacja jest platformą do automatyzacji zadań, film demonstracyjny musi pokazywać, jak tworzone i automatyzowane są różne przepływy pracy interfejsu API oraz w jakich kierunkach przepływają dane użytkownika.
- Przygotuj film, który dokładnie pokazuje, jak użytkownik inicjuje i przyznaje dostęp do żądanych zakresów, oraz szczegółowo przedstawia, jak aplikacja korzysta z przyznanych zakresów poufnych i ograniczonych. Prześlij film do YouTube Studio i ustaw Widoczność jako Niepubliczny. Musisz podać link do filmu demonstracyjnego w polu linku do YouTube.
- Pokaż proces uwierzytelniania przez OAuth, który będą widzieć użytkownicy, w języku angielskim. Obejmuje to proces uzyskiwania zgody oraz proces logowania, jeśli korzystasz z funkcji Zaloguj się przez Google.
- pokaż, że ekran zgody OAuth prawidłowo wyświetla nazwę aplikacji;
- Pokaż, że pasek adresu przeglądarki na ekranie zgody OAuth zawiera prawidłowy identyfikator klienta OAuth aplikacji.
- Aby pokazać, jak będą używane dane, zademonstruj funkcje, które są włączone przez każdy zakres wrażliwy i ograniczony, o który prosisz.
- Jeśli używasz wielu klientów, a tym samym masz wiele identyfikatorów klienta OAuth, pokaż, jak uzyskiwany jest dostęp do danych na każdym kliencie OAuth.
- Na liście „Z jakich funkcji będziesz korzystać?” wybierz dozwolony typ aplikacji.
- Opisz, jak będziesz używać zakresów z ograniczeniami w swojej aplikacji i dlaczego zakresy z większymi ograniczeniami nie są wystarczające.
Po opublikowaniu informacji o marce lub przesłaniu prośby o dostęp do danych zespół Google ds. zaufania i bezpieczeństwa może wysłać do Ciebie e-maila z prośbą o dodatkowe informacje lub z instrukcjami, które musisz wykonać. Sprawdź, czy w sekcji Informacje kontaktowe dewelopera i w adresie e-mail do kontaktu z zespołem pomocy na ekranie zgody OAuth nie ma próśb o dodatkowe informacje. Możesz też sprawdzić strony Marka lub Centrum weryfikacji, aby potwierdzić bieżący stan weryfikacji projektu, w tym czy proces weryfikacji został wstrzymany, gdy czekamy na Twoją odpowiedź.
Wyjątki od wymagań dotyczących weryfikacji
Jeśli Twoja aplikacja będzie używana w jednym ze scenariuszy opisanych w poniższych sekcjach, nie musisz przesyłać jej do sprawdzenia.
Do użytku osobistego
Może to być na przykład sytuacja, gdy jesteś jedynym użytkownikiem aplikacji lub gdy korzysta z niej tylko kilka osób, które znasz osobiście. Ty i ograniczona liczba użytkowników możecie przejść przez ekran niezweryfikowanej aplikacji i przyznać swoim kontom osobistym dostęp do aplikacji.
Projekty używane na poziomach programistycznym, testowym lub przejściowym
Aby zachować zgodność z zasadami Google OAuth 2.0, zalecamy używanie różnych projektów w środowiskach testowych i produkcyjnych. Zalecamy przesłanie aplikacji do weryfikacji tylko wtedy, gdy chcesz udostępnić ją wszystkim użytkownikom kont Google. Dlatego jeśli aplikacja jest na etapie programowania, testowania lub stagingu, weryfikacja nie jest wymagana.
Jeśli aplikacja jest w fazie rozwoju lub testowania, możesz pozostawić Stan publikacji w ustawieniu domyślnym Testowanie. To ustawienie oznacza, że aplikacja jest nadal w fazie rozwoju i jest dostępna tylko dla użytkowników, których dodasz do listy użytkowników testowych. Musisz zarządzać listą kont Google, które są zaangażowane w tworzenie lub testowanie aplikacji.
Tylko dane należące do usługi
Jeśli Twoja aplikacja używa konta usługi, aby uzyskiwać dostęp tylko do własnych danych, i nie uzyskuje dostępu do żadnych danych użytkownika (powiązanych z kontem Google), nie musisz przesyłać jej do weryfikacji.
Aby dowiedzieć się, czym są konta usługi, zapoznaj się z artykułem Konta usługi w dokumentacji Google Cloud. Instrukcje dotyczące korzystania z konta usługi znajdziesz w artykule Używanie protokołu OAuth 2.0 w aplikacjach do połączeń między serwerami.
Tylko do użytku wewnętrznego
Oznacza to, że aplikacja jest używana tylko przez osoby w Twojej organizacji Google Workspace lub Cloud Identity. Projekt musi należeć do organizacji, a jego ekran zgody OAuth musi być skonfigurowany dla wewnętrznego typu użytkownika. W takim przypadku aplikacja może wymagać zatwierdzenia przez administratora organizacji. Więcej informacji znajdziesz w artykule Dodatkowe uwagi dotyczące Google Workspace.
- Dowiedz się więcej o aplikacjach publicznych i wewnętrznych.
- Dowiedz się, jak oznaczyć aplikację jako wewnętrzną, z Najczęstszych pytań Jak oznaczyć aplikację jako przeznaczoną tylko do użytku wewnętrznego?
Instalacja w całej domenie
Jeśli planujesz, aby Twoja aplikacja była kierowana tylko na użytkowników organizacji Google Workspace lub Cloud Identity i zawsze korzystała z instalacji w całej domenie, nie będzie ona wymagać weryfikacji marki. Jeśli jednak aplikacja korzysta z zakresów z ograniczeniami lub zakresów wrażliwych, wymagana jest weryfikacja aplikacji. Dzieje się tak, ponieważ instalacja w całej domenie umożliwia administratorowi domeny przyznawanie aplikacjom innych firm i aplikacjom wewnętrznym dostępu do danych użytkowników. Tylko administratorzy organizacji mogą dodawać aplikacje do listy dozwolonych do użytku w ich domenach.
Aby dowiedzieć się, jak umożliwić instalację aplikacji w całej domenie, zapoznaj się z odpowiedzią na pytanie Moja aplikacja ma użytkowników z kontami służbowymi z innej domeny Google Workspace w sekcji Najczęstsze pytania.