Jika aplikasi Anda meminta izin untuk menggunakan Google API guna mengakses data pengguna Google, Anda mungkin harus menyelesaikan proses verifikasi sebelum membuat aplikasi Anda tersedia secara publik untuk pertama kalinya.
Apakah persyaratan ini berlaku untuk aplikasi Anda sebagian besar bergantung pada dua faktor:
- Jenis data pengguna yang Anda akses—informasi profil publik, entri kalender, file di Drive, data kesehatan dan kebugaran tertentu, dll.
- Tingkat akses yang Anda butuhkan—hanya baca, baca dan tulis, dll.
Saat Anda menggunakan OAuth 2.0 untuk mendapatkan izin dari Akun Google untuk mengakses datanya, Anda menggunakan string yang disebut cakupan untuk menentukan jenis data yang ingin Anda akses atas nama pengguna tersebut. Jika aplikasi Anda meminta cakupan yang dikategorikan sebagai sensitif atau terbatas, Anda mungkin perlu menyelesaikan proses verifikasi kecuali jika penggunaan aplikasi Anda memenuhi syarat untuk pengecualian.
Contoh cakupan sensitif mencakup membaca acara yang disimpan di Google Kalender, menyimpan kontak baru di Google Kontak, atau menghapus video YouTube. Untuk mengetahui informasi selengkapnya tentang cakupan yang tersedia dan klasifikasinya, lihat dokumentasi referensi endpoint API yang dipanggil oleh aplikasi Anda dan panduan otorisasi terkait yang dipublikasikan untuk API.
Anda harus meminta cakupan yang memerlukan akses paling sedikit ke data pengguna yang diperlukan untuk menyediakan fungsi tersebut. Misalnya, aplikasi yang hanya membaca data tidak boleh meminta akses untuk membaca, menulis, dan menghapus konten jika cakupan yang lebih sempit tersedia untuk API dan endpoint terkaitnya. Data yang Anda terima dari Google API hanya boleh digunakan sesuai dengan kebijakan API dan dengan cara yang Anda nyatakan kepada pengguna dalam tindakan aplikasi dan kebijakan privasi Anda.
Pastikan untuk memperhitungkan waktu yang diperlukan untuk menyelesaikan verifikasi dalam rencana peluncuran aplikasi atau fitur baru yang memerlukan cakupan baru. Proses verifikasi cakupan sensitif biasanya memerlukan waktu 3–5 hari kerja untuk diselesaikan. Perhatikan bahwa aplikasi Anda mungkin memenuhi syarat untuk menyelesaikan verifikasi merek sebagai bagian dari permintaan verifikasi cakupan sensitif Anda.
Memahami cakupan sensitif
Cakupan sensitif memerlukan peninjauan oleh Google sebelum Akun Google mana pun dapat memberikan akses. Administrator organisasi Google Workspace dapat membatasi akses ke cakupan sensitif untuk mencegah akses oleh ID klien OAuth yang tidak ditandai secara eksplisit sebagai tepercaya oleh organisasi.
Memahami penggunaan cakupan Anda
- Tinjau cakupan yang digunakan atau ingin Anda gunakan oleh aplikasi Anda. Untuk menemukan penggunaan cakupan yang ada, periksa kode sumber aplikasi Anda untuk mengetahui cakupan yang dikirim dengan permintaan otorisasi.
- Tentukan bahwa setiap cakupan yang diminta diperlukan untuk tindakan yang dimaksudkan fitur aplikasi Anda dan menggunakan hak istimewa terendah yang diperlukan untuk menyediakan fitur tersebut. Google API biasanya memiliki dokumentasi referensi di halaman Google Developer produk untuk endpoint-nya yang mencakup cakupan yang diperlukan untuk memanggil endpoint atau properti tertentu di dalamnya. Untuk mengetahui informasi selengkapnya tentang cakupan akses yang diperlukan untuk endpoint API yang dipanggil aplikasi Anda, baca dokumentasi referensi endpoint tersebut.
- Data yang Anda terima dari Google API hanya boleh digunakan sesuai dengan kebijakan API dan dengan cara yang Anda nyatakan kepada pengguna Anda dalam tindakan aplikasi dan dalam kebijakan privasi Anda.
- Lihat dokumentasi API untuk mempelajari lebih lanjut setiap cakupan, termasuk statusnya yang berpotensi sensitif atau dibatasi.
- Deklarasikan semua cakupan yang digunakan oleh aplikasi Anda di halaman Akses Data di Konsol Cloud. Cakupan yang Anda tentukan dikelompokkan ke dalam kategori sensitif atau dibatasi untuk menandai verifikasi tambahan yang diperlukan.
- Temukan cakupan terbaik yang cocok dengan data yang digunakan oleh integrasi Anda, pahami penggunaannya, konfirmasi ulang bahwa semuanya masih berfungsi di lingkungan pengujian, lalu bersiaplah untuk mengirimkan verifikasi.
Langkah-langkah untuk bersiap melakukan verifikasi
Semua aplikasi yang menggunakan Google API untuk meminta akses ke data harus melakukan langkah-langkah berikut untuk menyelesaikan verifikasi merek:
- Pastikan aplikasi Anda tidak termasuk dalam salah satu kasus penggunaan di bagian Pengecualian terhadap persyaratan verifikasi.
- Pastikan aplikasi Anda mematuhi persyaratan branding API atau produk terkait. Misalnya, lihat pedoman branding untuk cakupan Login dengan Google.
- Verifikasi kepemilikan domain resmi project Anda dalam Google Search Console. Gunakan Akun Google yang terkait dengan project Konsol API Anda sebagai Pemilik atau Editor.
- Pastikan semua informasi branding di layar izin OAuth, seperti nama aplikasi, email dukungan, URI halaman beranda, URI kebijakan privasi, dll., secara akurat mewakili identitas aplikasi.
Persyaratan halaman beranda aplikasi
Pastikan halaman beranda Anda memenuhi persyaratan berikut:
- Halaman beranda Anda harus dapat diakses secara publik, dan tidak hanya dapat diakses oleh pengguna yang login ke situs Anda.
- Relevansi halaman beranda Anda dengan aplikasi yang sedang dalam peninjauan harus jelas.
- Link ke listingan aplikasi Anda di Google Play Store atau halaman Facebook-nya tidak dianggap sebagai halaman beranda aplikasi yang valid.
Persyaratan link kebijakan privasi aplikasi
Pastikan kebijakan privasi aplikasi Anda memenuhi persyaratan berikut:
- Kebijakan privasi harus terlihat oleh pengguna, dihosting dalam domain yang sama dengan halaman beranda aplikasi Anda, dan ditautkan di layar izin OAuth Konsol API Google. Perhatikan bahwa halaman beranda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional.
- Kebijakan privasi harus mengungkapkan cara aplikasi Anda mengakses, menggunakan, menyimpan, atau membagikan data pengguna Google. Anda harus membatasi penggunaan data pengguna Google pada praktik yang diungkapkan oleh kebijakan privasi yang Anda publikasikan.
Cara mengirimkan aplikasi untuk verifikasi merek
Project Konsol Google Cloud mengatur semua resource Konsol Cloud Anda. Project terdiri dari sekumpulan Akun Google terkait yang memiliki izin untuk melakukan operasi project, sekumpulan API yang diaktifkan, serta setelan penagihan, autentikasi, dan pemantauan untuk API tersebut. Misalnya, project dapat berisi satu atau beberapa klien OAuth, mengonfigurasi API untuk digunakan oleh klien tersebut, dan mengonfigurasi layar izin OAuth yang ditampilkan kepada pengguna sebelum mereka mengizinkan akses ke aplikasi Anda.
Jika ada klien OAuth yang belum siap untuk produksi, sebaiknya hapus klien tersebut dari project yang meminta verifikasi. Anda dapat melakukannya di halaman Klien.
Untuk mengirimkan permintaan verifikasi, ikuti langkah-langkah berikut:
- Pastikan aplikasi Anda mematuhi Persyaratan Layanan Google API, dan Kebijakan Data Pengguna Layanan API Google.
- Selalu perbarui peran pemilik dan editor akun terkait project Anda, serta email dukungan pengguna dan informasi kontak developer di layar izin OAuth Anda, di Konsol Cloud Anda. Tindakan ini memastikan anggota tim yang tepat akan diberi tahu tentang persyaratan baru.
- Buka halaman Branding OAuth di Konsol Cloud.
- Klik tombol Pemilih project.
- Pada dialog Pilih dari yang muncul, pilih project Anda. Jika tidak dapat menemukan project, tetapi mengetahui project ID, Anda dapat membuat URL di browser dalam format berikut:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
- Di halaman Branding, berikan informasi branding aplikasi Anda, termasuk nama aplikasi, logo, informasi kontak developer, dan link yang relevan. Setiap perubahan yang Anda buat akan disimpan sebagai Branding Draf.
- Klik tombol Verifikasi Branding untuk memulai proses evaluasi. Peninjauan otomatis biasanya selesai dalam beberapa menit.
- Setelah evaluasi selesai, tinjau statusnya. Jika berhasil, statusnya akan berubah menjadi Siap dipublikasikan. Jika verifikasi otomatis gagal, Anda dapat melihat masalah yang terdeteksi dan memperbaikinya atau meminta peninjauan manual.
- Klik tombol Publikasikan branding untuk menayangkan branding baru.
- Jika aplikasi Anda juga memerlukan verifikasi untuk cakupan sensitif atau yang dibatasi, buka Pusat Verifikasi OAuth untuk melacak Status akses data Anda dan memberikan informasi tambahan yang diminta, seperti video demonstrasi. Perhatikan bahwa Anda harus memiliki status branding yang dipublikasikan sebelum dapat meminta verifikasi untuk akses data.
- Gunakan tombol Tambahkan atau hapus cakupan untuk mendeklarasikan semua cakupan yang diminta oleh aplikasi Anda. Kumpulan cakupan awal yang diperlukan untuk Login dengan Google telah diisi otomatis di bagian Cakupan tidak sensitif. Cakupan yang ditambahkan diklasifikasikan sebagai tidak sensitif, sensitive, or restricted .
- Berikan hingga tiga link ke dokumentasi yang relevan untuk fitur terkait di aplikasi Anda.
- Berikan informasi tambahan yang diminta tentang aplikasi Anda pada langkah-langkah berikutnya.
1. Prepare a detailed justification for each requested sensitive scope, as well
as an explanation for why a narrower scope isn't sufficient. For example: "My
app will use
https://www.googleapis.com/auth/calendarto show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar." 2. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field. 1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow. 2. Show that the OAuth consent screen correctly displays the App Name. 3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID. 4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
Setelah Anda memublikasikan branding atau mengirimkan permintaan akses data, tim Kepercayaan & Keamanan Google dapat menindaklanjutinya melalui email dengan meminta informasi tambahan yang mereka butuhkan atau langkah-langkah yang harus Anda selesaikan. Periksa alamat email Anda di bagian Informasi kontak developer dan email dukungan di layar izin OAuth Anda untuk mengetahui permintaan informasi tambahan. Anda juga dapat melihat halaman Branding atau Pusat Verifikasi project untuk mengonfirmasi status peninjauan project saat ini, termasuk apakah proses peninjauan dijeda saat kami menunggu respons Anda.
Pengecualian terhadap persyaratan verifikasi
Jika aplikasi Anda akan digunakan dalam salah satu skenario yang dijelaskan di bagian berikut, Anda tidak perlu mengirimkannya untuk ditinjau.
Penggunaan pribadi
Salah satu kasus penggunaannya adalah jika Anda adalah satu-satunya pengguna aplikasi Anda atau jika aplikasi Anda hanya digunakan oleh beberapa pengguna, yang semuanya Anda kenal secara pribadi. Anda dan sejumlah kecil pengguna Anda mungkin merasa nyaman untuk melanjutkan proses di layar aplikasi yang belum diverifikasi dan memberikan akses akun pribadi Anda ke aplikasi Anda.
Project yang digunakan di tingkat Pengembangan, Pengujian, atau Staging
Untuk mematuhi Kebijakan Google OAuth 2.0, sebaiknya Anda memiliki project yang berbeda untuk lingkungan pengujian dan produksi. Sebaiknya kirimkan aplikasi Anda untuk verifikasi hanya jika Anda ingin membuat aplikasi Anda tersedia bagi semua pengguna yang memiliki Akun Google. Oleh karena itu, jika aplikasi Anda dalam tahap pengembangan, pengujian, atau penyiapan, verifikasi tidak diperlukan.
Jika aplikasi Anda berada dalam fase pengembangan atau pengujian, Anda dapat membiarkan Status Publikasi dalam setelan default Pengujian. Setelan ini berarti aplikasi Anda masih dalam pengembangan dan hanya tersedia untuk pengguna yang Anda tambahkan ke daftar pengguna pengujian. Anda harus mengelola daftar Akun Google yang terlibat dalam pengembangan atau pengujian aplikasi Anda.
Hanya data milik layanan
Jika aplikasi Anda menggunakan akun layanan untuk mengakses datanya sendiri saja, dan tidak mengakses data pengguna (yang ditautkan ke Akun Google), maka Anda tidak perlu mengirimkan aplikasi untuk verifikasi.
Untuk memahami apa yang dimaksud dengan akun layanan, lihat Akun layanan dalam dokumentasi Google Cloud. Untuk mengetahui petunjuk tentang cara menggunakan akun layanan, lihat Menggunakan OAuth 2.0 untuk aplikasi server ke server.
Khusus penggunaan internal
Artinya, aplikasi hanya digunakan oleh orang-orang di organisasi Google Workspace atau Cloud Identity Anda. Project harus dimiliki oleh organisasi, dan layar izin OAuth-nya harus dikonfigurasi untuk jenis pengguna Internal. Dalam hal ini, aplikasi Anda mungkin memerlukan persetujuan dari administrator organisasi. Untuk mengetahui informasi selengkapnya, lihat Pertimbangan tambahan untuk Google Workspace.
- Pelajari lebih lanjut aplikasi publik dan internal.
- Pelajari cara menandai aplikasi Anda sebagai internal di FAQ Bagaimana cara menandai aplikasi saya sebagai khusus internal?
Penginstalan di seluruh domain
Jika Anda berencana agar aplikasi hanya menargetkan pengguna organisasi Google Workspace atau Cloud Identity dan selalu menggunakan penginstalan di seluruh domain, aplikasi Anda tidak memerlukan verifikasi merek. Namun, jika aplikasi Anda menggunakan cakupan sensitif atau yang dibatasi, verifikasi aplikasi diperlukan. Hal ini karena penginstalan tingkat domain memungkinkan administrator domain memberi akses kepada aplikasi internal dan pihak ketiga ke data pengguna Anda. Administrator organisasi adalah satu-satunya akun yang dapat menambahkan aplikasi ke daftar yang diizinkan untuk digunakan dalam domain mereka.
Pelajari cara menjadikan aplikasi Anda sebagai Penginstalan Tingkat Domain di FAQ Aplikasi saya memiliki pengguna dengan akun perusahaan dari Domain Google Workspace lain.