Cumple con las políticas de OAuth 2.0

En esta guía, se describe cómo cumplir con los problemas más comunes que enfrentan los desarrolladores cuando preparan sus apps para producción.

Descripción general

Cuando tengas todo listo para implementar la solución más allá del entorno de desarrollo para los usuarios de tu app, es posible que debas seguir pasos adicionales para cumplir con las políticas de OAuth 2.0 de Google. En esta guía, describimos cómo cumplir con los problemas más comunes que enfrentan los desarrolladores cuando preparan sus apps para producción. Esto te ayuda a llegar al público más amplio posible con errores limitados.

Usa proyectos independientes para las pruebas y la producción

Las políticas de OAuth de Google requieren proyectos independientes para las pruebas y la producción. Algunas políticas y requisitos solo se aplican a las apps de producción. Es posible que debas crear y configurar un proyecto independiente que incluya clientes de OAuth que correspondan a la versión de producción de tu app disponible para todas las Cuentas de Google.

Los clientes de OAuth de Google que se usan en producción ayudan a proporcionar un entorno de recopilación y almacenamiento de datos más estable, predecible y seguro que los clientes de OAuth similares que prueban o depuran la misma aplicación. Tu proyecto de producción se puede enviar para su verificación y, por lo tanto, estar sujeto a requisitos adicionales para permisos de API específicos, que pueden incluir evaluaciones de seguridad de terceros.

  1. Ve a la Consola de API de Google. Haz clic en Crear proyecto, ingresa un nombre y haz clic en Crear.
  2. Revisa los clientes de OAuth de este proyecto que podrían estar asociados con tu nivel de prueba. Si corresponde, crea clientes de OAuth similares para los clientes de producción dentro de tu proyecto de producción.
  3. Habilita las APIs que usan tus clientes.
  4. Revisa la configuración de la pantalla de consentimiento de OAuth para el proyecto nuevo en la página de desarrollo de la marca de la consola de Cloud.

Los clientes de OAuth de Google que se usan en producción no deben contener entornos de prueba, URIs de redireccionamiento ni orígenes de JavaScript disponibles solo para ti o tu equipo de desarrollo. Estos son algunos ejemplos:

  • Los servidores de prueba de desarrolladores individuales
  • Versiones de prueba o previas al lanzamiento de tu app

Mantener una lista de contactos relevantes para el proyecto

Es posible que Google y las APIs individuales que habilites deban comunicarse contigo para informarte sobre cambios en sus servicios o sobre parámetros de configuración nuevos que se requieran para tu proyecto y sus clientes. Revisa las fichas de IAM de tu proyecto para asegurarte de que las personas relevantes de tu equipo tengan acceso para editar o ver la configuración del proyecto. Estas cuentas también podrían recibir correos electrónicos sobre los cambios necesarios en tu proyecto.

Un rol contiene un conjunto de permisos que te permite realizar acciones específicas en los recursos del proyecto. Los editores de proyectos tienen permisos para realizar acciones que modifican el estado, como la capacidad de realizar cambios en la pantalla de consentimiento de OAuth de tu proyecto. Los propietarios de proyectos que tienen todos los permisos de editor pueden agregar o quitar cuentas asociadas con el proyecto, o bien borrarlo. Los propietarios de proyectos también pueden proporcionar contexto sobre por qué se pueden establecer los datos de facturación. Los propietarios del proyecto pueden configurar los datos de facturación de un proyecto que use APIs pagadas.

Los propietarios y editores del proyecto deben mantenerse actualizados. Puedes agregar varias cuentas relevantes a tu proyecto para garantizar el acceso continuo al proyecto y el mantenimiento relacionado. Enviamos correos electrónicos a esas cuentas cuando hay notificaciones sobre tu proyecto o actualizaciones de nuestros servicios. Los administradores de la organización de Google Cloud deben asegurarse de que haya un contacto disponible asociado a cada proyecto de su organización. Si no tenemos información de contacto actualizada para tu proyecto, es posible que te pierdas mensajes importantes que requieren que realices alguna acción.

Representa tu identidad con precisión

Proporciona un nombre de app válido y, de manera opcional, un logotipo para mostrar a los usuarios. Esta información de la marca debe representar con precisión la identidad de tu aplicación. La información de desarrollo de la marca de la app se configura desde la página de desarrollo de la marca de OAuth.

En el caso de las apps de producción, la información de la marca definida en la pantalla de consentimiento de OAuth se debe verificar antes de que se muestre a los usuarios. Es posible que los usuarios tengan más probabilidades de otorgar acceso a tu app después de que se complete la verificación de la marca. La información básica de la aplicación, que incluye el nombre, la página principal, las condiciones del servicio y la política de privacidad de la app, se muestra a los usuarios en la pantalla de otorgamiento, cuando revisan los otorgamientos existentes, o a los administradores de Google Workspace que revisan el uso de la app por parte de su organización.

Google puede revocar o suspender el acceso a los Servicios de las APIs de Google y a otros productos y servicios de Google para las apps que tergiversen su identidad o intenten engañar a los usuarios.

Solicita solo los permisos que necesitas

Durante el desarrollo de tu aplicación, es posible que hayas usado un permiso de ejemplo proporcionado por la API para crear una prueba de concepto dentro de tu aplicación y obtener más información sobre las características y la funcionalidad de la API. Estos permisos de ejemplo suelen solicitar más información de la que necesita la implementación final de tu app, ya que proporcionan una cobertura integral de todas las acciones posibles para una API en particular. Por ejemplo, el permiso de ejemplo puede solicitar permisos de lectura, escritura y eliminación, mientras que tu aplicación solo requiere permisos de lectura. Solicita permisos pertinentes que se limiten a la información crítica necesaria para implementar tu aplicación.

Revisa la documentación de referencia de los endpoints de la API a los que llama tu app y anota los permisos que requieren para acceder a los datos pertinentes que necesita tu app. Revisa las guías de autorización que ofrece la API y describe sus permisos con más detalle para incluir el uso más común. Elige el acceso a los datos más mínimo que tu aplicación necesita para potenciar las funciones relacionadas.

Para obtener más información sobre este requisito, lee la sección Solo solicita los permisos que necesitas de las Políticas de OAuth 2.0, junto con la sección Solicita los permisos pertinentes de la Política de Datos del Usuario de los Servicios de las APIs de Google.

Envía para su verificación las apps de producción que usen permisos no sensibles o no restringidos

Acceder con Google no solicita permisos sensibles ni restringidos mientras autentica a un usuario. Si tu aplicación usa Acceder con Google solo para la autenticación, debes enviarla para la verificación de la marca. Puedes enviar la solicitud de verificación en la consola de Google Cloud desde la página de desarrollo de la marca. Esta verificación es necesaria para mostrar los elementos de desarrollo de la marca de la app, incluidos el nombre, el logotipo, la política de privacidad, las Condiciones del Servicio y los permisos, en la pantalla de consentimiento.

Te recomendamos que tu app cumpla con los lineamientos de desarrollo de la marca oficiales para colocar el botón de acceso.

Solo usa dominios de tu propiedad

El proceso de verificación de la pantalla de consentimiento de OAuth de Google requiere la verificación de todos los dominios asociados con la página principal de tu proyecto, la política de privacidad, las condiciones del servicio, los URI de redireccionamiento autorizados o los orígenes de JavaScript autorizados. Revisa la lista de dominios que usa tu app, que se resume en la sección Dominios autorizados del editor de la pantalla de consentimiento de OAuth, y, luego, identifica los dominios que no sean de tu propiedad y que, por lo tanto, no puedas verificar. Para verificar la propiedad de los dominios autorizados de tu proyecto, usa Google Search Console. Usa una Cuenta de Google asociada con tu proyecto de la Consola de APIs como propietario o editor.

Si tu proyecto usa un proveedor de servicios con un dominio común y compartido, te recomendamos que habilites los parámetros de configuración que permitirían el uso de tu propio dominio. Algunos proveedores ofrecen asignar sus servicios a un subdominio de un dominio que ya posees.

Aloja una página principal para las apps de producción

Todas las apps de producción que usan OAuth 2.0 deben tener una página principal de acceso público. Los usuarios potenciales de tu app podrían visitar la página principal para obtener más información sobre las características y funciones que ofrece la app. Los usuarios existentes pueden revisar su lista de permisos existentes y visitar la página principal de tu app como recordatorio de su uso continuo de tu oferta.

La página principal de tu aplicación debe incluir una descripción de la funcionalidad de la app, así como vínculos a una política de privacidad y a condiciones del servicio opcionales. La página principal debe existir en un dominio verificado de tu propiedad.

Usa URI de redireccionamiento y orígenes de JavaScript seguros

Los clientes de OAuth 2.0 para apps web deben proteger sus datos con URIs de redireccionamiento HTTPS y orígenes de JavaScript, no con HTTP simple. Google puede rechazar las solicitudes de OAuth que no se originan en un contexto seguro o que no se resuelven en él.

Considera qué aplicaciones y secuencias de comandos de terceros podrían tener acceso a los tokens y otras credenciales de usuario que regresan a tu página. Limita el acceso a los datos sensibles con ubicaciones de URI de redireccionamiento que se limiten a verificar y almacenar datos de tokens.

Próximos pasos

Después de asegurarte de que tu app cumple con las políticas de OAuth 2.0 de esta página, consulta Envía la app para la verificación de la marca para obtener detalles sobre el proceso de verificación.