Jeśli Twoja aplikacja prosi o zgodę na korzystanie z interfejsów API Google w celu uzyskania dostępu do danych użytkowników Google, przed pierwszym udostępnieniem jej publicznie może być konieczne przejście procesu weryfikacji.
To, czy ten wymóg dotyczy Twojej aplikacji, zależy głównie od 2 czynników:
- rodzaju danych użytkownika, do których uzyskujesz dostęp – publiczne informacje o profilu, wpisy w kalendarzu, pliki na Dysku, niektóre dane o zdrowiu i aktywności fizycznej itp.;
- zakresu dostępu, którego potrzebujesz – tylko do odczytu, do odczytu i zapisu itp.
Gdy używasz OAuth 2.0, aby uzyskać od konta Google zgodę na dostęp do danych, używasz ciągów znaków zwanych zakresami, aby określić typ danych, do których chcesz uzyskać dostęp w imieniu użytkownika. Jeśli Twoja aplikacja prosi o zakresy sklasyfikowane jako wrażliwe lub z ograniczeniami, prawdopodobnie musisz przejść proces weryfikacji, chyba że użycie aplikacji kwalifikuje się do wyjątku.
Przykłady zakresów wrażliwych to odczytywanie wydarzeń przechowywanych w Kalendarzu Google, zapisywanie nowego kontaktu w Kontaktach Google lub usuwanie filmu na YouTube. Więcej informacji o dostępnych zakresach i ich klasyfikacjach znajdziesz w dokumentacji referencyjnej punktów końcowych interfejsu API wywoływanych przez Twoją aplikację oraz w powiązanym przewodniku autoryzacji opublikowanym dla interfejsu API.
Musisz poprosić o zakresy, które wymagają minimalnego dostępu do danych użytkownika niezbędnego do zapewnienia danej funkcji. Na przykład aplikacja, która tylko odczytuje dane, nie może prosić o dostęp do odczytywania, zapisywania i usuwania treści, gdy dla interfejsu API i powiązanych z nim punktów końcowych dostępny jest węższy zakres. Dane otrzymywane z interfejsu API Google mogą być używane tylko zgodnie z zasadami interfejsu API oraz w sposób, który przedstawiasz użytkownikom w działaniach aplikacji i w polityce prywatności.
W planie wdrożenia aplikacji lub nowych funkcji, które wymagają nowego zakresu, uwzględnij czas potrzebny na przejście weryfikacji. Proces weryfikacji zakresu wrażliwego może potrwać do 10 dni. Pamiętaj , że w ramach prośby o weryfikację zakresu wrażliwego Twoja aplikacja może kwalifikować się do przejścia weryfikacji marki.
Omówienie zakresów wrażliwych
Zanim jakiekolwiek konto Google będzie mogło przyznać dostęp do zakresów wrażliwych, Google musi je sprawdzić. Administratorzy organizacji Google Workspace mogą ograniczyć dostęp do zakresów wrażliwych, aby uniemożliwić dostęp identyfikatorom klienta OAuth, które nie zostały przez organizację wyraźnie oznaczone jako zaufane.
Omówienie użycia zakresu
- Sprawdź zakresy, których używa Twoja aplikacja lub których chcesz używać. Aby sprawdzić, jak obecnie używasz zakresów, przejrzyj kod źródłowy aplikacji pod kątem zakresów wysyłanych z żądaniami autoryzacji.
- Upewnij się, że każdy żądany zakres jest niezbędny do działania funkcji aplikacji i korzysta z jak najmniejszych uprawnień wymaganych do udostępnienia tej funkcji. Interfejs API Google zwykle ma dokumentację referencyjną na stronie Google dla deweloperów dotyczącą punktów końcowych, która zawiera zakres wymagany do wywołania punktu końcowego lub określonych właściwości w jego obrębie. Więcej informacji o niezbędnych zakresach dostępu do punktów końcowych interfejsu API wywoływanych przez Twoją aplikację znajdziesz w dokumentacji referencyjnej tych punktów końcowych.
- Dane otrzymywane z interfejsu API Google mogą być używane tylko zgodnie z zasadami interfejsu API i w sposób, który przedstawiasz użytkownikom w działaniach aplikacji i w polityce prywatności.
- Zapoznaj się z dokumentacją interfejsu API, aby dowiedzieć się więcej o każdym zakresie, w tym o jego potencjalnym stanie.
- Zadeklaruj wszystkie zakresy używane przez Twoją aplikację na stronie Dostęp do danych w konsoli Cloud. Określone przez Ciebie zakresy są grupowane w kategorie wrażliwe lub z ograniczeniami , aby wyróżnić dodatkową weryfikację, która jest wymagana.
- Znajdź najlepszy zakres pasujący do danych używanych przez Twoją integrację, zapoznaj się z jego zastosowaniem, ponownie potwierdź, że wszystko działa w środowisku testowym, a następnie przygotuj się do przesłania aplikacji do weryfikacji.
Etapy przygotowania do weryfikacji
Aby przejść weryfikację marki, wszystkie aplikacje, które używają interfejsów API Google do żądania dostępu do danych, muszą wykonać te czynności:
- Upewnij się, że Twoja aplikacja nie mieści się w żadnym z przypadków użycia opisanych w sekcji Wyjątki od wymagań weryfikacyjnych.
- Upewnij się, że Twoja aplikacja jest zgodna z wymaganiami dotyczącymi marki powiązanych interfejsów API lub usługi. Na przykład zapoznaj się z wytycznymi dotyczącymi marki w przypadku zakresów Logowania przez Google.
- Potwierdź własność autoryzowanych domen projektu w Google Search Console. Użyj konta Google powiązanego z projektem w Konsoli interfejsów API jako właściciel lub edytujący.
- Upewnij się, że wszystkie informacje o marce na ekranie zgody OAuth, takie jak nazwa aplikacji, adres e-mail pomocy, URI strony głównej, URI polityki prywatności itp., dokładnie odzwierciedlają tożsamość aplikacji.
Wymagania dotyczące strony głównej aplikacji
Upewnij się, że strona główna spełnia te wymagania:
- Strona główna musi być dostępna publicznie, a nie tylko dla zalogowanych użytkowników witryny.
- Strona główna musi być wyraźnie powiązana z aplikacją, która jest w trakcie sprawdzania.
- Linki do strony aplikacji w Sklepie Google Play lub na Facebooku nie są uznawane za prawidłowe strony główne aplikacji.
Wymagania dotyczące linku do polityki prywatności aplikacji
Upewnij się, że polityka prywatności aplikacji spełnia te wymagania:
- Polityka prywatności musi być widoczna dla użytkowników, hostowana w tej samej domenie co strona główna aplikacji i powiązana z ekranem zgody OAuth w konsoli interfejsów API Google. Pamiętaj, że strona główna musi zawierać a opis funkcji aplikacji oraz linki do polityki prywatności i opcjonalnych warunków korzystania z usługi.
- Polityka prywatności musi określać sposób, w jaki aplikacja uzyskuje dostęp do danych użytkowników Google, wykorzystuje je, przechowuje i udostępnia. Musisz ograniczyć użycie danych użytkowników Google do praktyk, które są opisane w opublikowanej polityce prywatności.
Przesyłanie aplikacji do weryfikacji marki
Projekt w konsoli Google Cloud porządkuje wszystkie zasoby w konsoli Cloud. Projekt składa się z zestawu powiązanych kont Google, które mają uprawnienia do wykonywania operacji w projekcie, zestawu włączonych interfejsów API oraz ustawień płatności, uwierzytelniania i monitorowania tych interfejsów API. Na przykład projekt może zawierać co najmniej jednego klienta OAuth, konfigurować interfejsy API do użycia przez tych klientów oraz konfigurować ekran zgody OAuth, który jest wyświetlany użytkownikom, zanim zezwolą na dostęp do Twojej aplikacji.
Jeśli którykolwiek z Twoich klientów OAuth nie jest gotowy do użycia w środowisku produkcyjnym, usuń go z projektu, który prosi o weryfikację. Możesz to zrobić na stronie Klienci.
Aby przesłać aplikację do weryfikacji:
- Upewnij się, że Twoja aplikacja jest zgodna z Warunkami korzystania z interfejsów API Google i Zasadami dotyczącymi danych użytkownika usług interfejsów API Google.
- W konsoli Cloud utrzymuj aktualne role właściciela i edytora powiązanych kont projektu, a także adres e-mail pomocy dla użytkowników i dane kontaktowe dewelopera na ekranie zgody OAuth. Dzięki temu odpowiedni członkowie zespołu będą otrzymywać powiadomienia o nowych wymaganiach.
- Otwórz stronę Marka OAuth w konsoli Cloud OAuth Branding page.
- Kliknij przycisk Selektor projektu.
-
W wyświetlonym oknie Wybierz z wybierz swój projekt. Jeśli nie możesz znaleźć projektu, ale znasz jego identyfikator projektu, możesz utworzyć adres URL w przeglądarce w tym formacie:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Zastąp [PROJECT_ID] identyfikatorem projektu, którego chcesz użyć.
- Na stronie Marka podaj informacje o marce aplikacji, w tym nazwę aplikacji, logo, dane kontaktowe dewelopera i odpowiednie linki. Wszystkie wprowadzone zmiany są zapisywane jako Wersja robocza marki.
- Aby rozpocząć proces oceny , kliknij przycisk Zweryfikuj markę. Sprawdzanie automatyczne zwykle trwa kilka minut.
- Po zakończeniu oceny sprawdź stan. Jeśli weryfikacja się powiedzie, stan zmieni się na Gotowe do opublikowania. Jeśli automatyczna weryfikacja się nie powiedzie, możesz zobaczyć wykryte problemy i je naprawić lub poprosić o ręczne sprawdzenie.
- Aby opublikować nową markę , kliknij przycisk Opublikuj markę.
-
Jeśli Twoja aplikacja wymaga też weryfikacji zakresów wrażliwych lub z ograniczeniami, otwórz Centrum weryfikacji OAuth, aby śledzić Stan dostępu do danych i podać dodatkowe informacje, takie jak film demonstracyjny. Pamiętaj, że zanim poprosisz o weryfikację dostępu do danych, musisz opublikować markę.
- Aby zadeklarować wszystkie zakresy, o które prosi Twoja aplikacja, kliknij przycisk Dodaj lub usuń zakresy. Początkowy zestaw zakresów niezbędnych do logowania przez Google jest wstępnie wypełniony w sekcji Zakresy niewrażliwe. Wstępny zestaw zakresów niezbędnych do logowania się przez Google jest wstępnie wypełniony w sekcji **Zakresy niewrażliwe**,
sensitive, or
<a href="/identity/protocols/oauth2/production-readiness/restricted-scope-verification"
restricted.
- Podaj maksymalnie 3 linki do istotnej dokumentacji dotyczącej powiązanych funkcji w aplikacji.
-
W kolejnych krokach podaj dodatkowe informacje o aplikacji.
- Prepare a detailed justification for each requested sensitive scope, as
well as an explanation for why a narrower scope isn't sufficient. For
example: "My app will use
https://www.googleapis.com/auth/calendarto show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar." -
Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.
- Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
- Show that the OAuth consent screen correctly displays the App Name.
- Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
- To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
- Prepare a detailed justification for each requested sensitive scope, as
well as an explanation for why a narrower scope isn't sufficient. For
example: "My app will use
Gdy opublikujesz markę lub prześlesz prośbę o dostęp do danych, zespół ds. bezpieczeństwa i zaufania Google może skontaktować się z Tobą e-mailem, aby poprosić o dodatkowe informacje lub poinformować o krokach, które musisz wykonać. Sprawdź adresy e-mail w sekcji Dane kontaktowe dewelopera oraz adres e-mail pomocy na ekranie zgody OAuth, aby sprawdzić, czy nie ma próśb o dodatkowe informacje. Możesz też otworzyć strony Marka lub Centrum weryfikacji w projekcie, aby sprawdzić jego bieżący stan sprawdzania, w tym czy proces sprawdzania jest wstrzymany, ponieważ czekamy na Twoją odpowiedź.
Wyjątki od wymagań weryfikacyjnych
Jeśli Twoja aplikacja będzie używana w którymś z scenariuszy opisanych w kolejnych sekcjach, nie musisz przesyłać jej do sprawdzenia.
Do użytku osobistego
Jednym z przypadków użycia jest sytuacja, gdy tylko Ty używasz aplikacji lub gdy używa jej tylko kilka osób, które znasz osobiście. Ty i ograniczona liczba użytkowników możecie bez problemu przejść przez ekran niezweryfikowanej aplikacji i przyznać swoim kontom osobistym dostęp do aplikacji.
Projekty używane na poziomach programowania, testowania lub stagingu
Aby zachować zgodność z zasadami Google OAuth 2.0, zalecamy używanie różnych projektów w środowiskach testowych i produkcyjnych. Zalecamy przesyłanie aplikacji do weryfikacji tylko wtedy, gdy chcesz udostępnić ją wszystkim użytkownikom z kontem Google. Dlatego jeśli aplikacja jest w fazie programowania, testowania lub stagingu, weryfikacja nie jest wymagana.
Jeśli Twoja aplikacja jest w fazie programowania lub testowania, możesz pozostawić stan publikowania w ustawieniu domyślnym Testowanie. To ustawienie oznacza, że aplikacja jest nadal w fazie programowania i jest tylko dostępna dla użytkowników, których dodasz do listy testowych. Musisz zarządzać listą kont Google które są używane do programowania lub testowania aplikacji.
Tylko dane należące do usługi
Jeśli Twoja aplikacja używa konta usługi tylko do uzyskiwania dostępu do własnych danych i nie uzyskuje dostępu do danych użytkownika (powiązanych z kontem Google), nie musisz przesyłać jej do weryfikacji.
Aby dowiedzieć się, czym są konta usługi, zapoznaj się z dokumentacją Google Cloud na temat kont usługi. Instrukcje dotyczące korzystania z konta usługi znajdziesz w artykule Używanie OAuth 2.0 w aplikacjach międzyserwerowych.
Jest przeznaczony tylko do użytku wewnętrznego
Oznacza to, że aplikacja jest używana tylko przez osoby w Twojej organizacji Google Workspace lub Cloud Identity organization. Projekt musi należeć do organizacji, a jego ekran zgody OAuth musi być skonfigurowany dla typu użytkownika Wewnętrzny. W takim przypadku Twoja aplikacja może wymagać zatwierdzenia przez administratora organizacji. Więcej informacji znajdziesz w sekcji Dodatkowe kwestie dotyczące Google Workspace.
- Dowiedz się więcej o aplikacjach publicznych i wewnętrznych.
- Dowiedz się, jak oznaczyć aplikację jako wewnętrzną, z często zadawanego pytania Jak oznaczyć aplikację jako przeznaczoną tylko do użytku wewnętrznego?
Instalacja w całej domenie
Jeśli planujesz, że Twoja aplikacja będzie kierowana tylko do użytkowników organizacji Google Workspace lub Cloud Identity i zawsze będzie używać instalacji w całej domenie, nie będzie wymagać weryfikacji marki. Jeśli jednak Twoja aplikacja korzysta z zakresów z ograniczeniami lub wrażliwych, weryfikacja aplikacji jest wymagana. Dzieje się tak, ponieważ instalacja w całej domenie umożliwia administratorowi domeny przyznanie aplikacjom zewnętrznym i wewnętrznym dostępu do danych użytkowników. Tylko administratorzy organizacji mogą dodać aplikację do listy dozwolonych do użycia w swoich domenach.
Dowiedz się, jak zainstalować aplikację w całej domenie, z często zadawanego pytania Moja aplikacja ma użytkowników z kontami firmowymi z innej domeny Google Workspace.