Google OAuth-Clients, die bestimmte vertrauliche OAuth-Bereiche anfordern, müssen von Google überprüft werden.
Wenn Sie den OAuth-Client Ihres Scriptprojekts nicht bestätigen, sehen Nutzer außerhalb Ihrer Domain den Bildschirm Nicht überprüfte App, wenn sie versuchen, Ihr Script zu autorisieren. Mit einem nicht bestätigten Autorisierungsvorgang können diese Nutzer nicht bestätigte Apps autorisieren und verwenden, aber nur, nachdem sie bestätigt haben, dass sie die Risiken kennen. Die Gesamtzahl der Nutzer nicht überprüfter Apps ist ebenfalls begrenzt.
Weitere Informationen finden Sie in folgenden Artikeln:
- Nicht bestätigte Apps
- Häufig gestellte Fragen zur OAuth-Anwendungsüberprüfung
- Google API-Dienste: Richtlinie zu Nutzerdaten
Diese Änderung gilt für alle Google OAuth-Webclients, einschließlich derjenigen, die von allen Apps Script-Projekten verwendet werden. Wenn Sie Ihre App bei Google bestätigen, können Sie den Bildschirm für nicht überprüfte Apps aus dem Autorisierungsablauf entfernen und Nutzern so die Gewissheit geben, dass Ihre App nicht schädlich ist.
Ungeprüfte Apps
Add-ons, Webanwendungen und andere Bereitstellungen (z. B. Apps, die die Apps Script API verwenden) müssen möglicherweise überprüft werden.
Geltungsbereich
Wenn die App sensible OAuth-Bereiche verwendet, wird der Bildschirm für nicht überprüfte Anwendungen möglicherweise im Rahmen des Autorisierungsvorgangs angezeigt. Ob die Funktion vorhanden ist (und der resultierende Ablauf für die Autorisierung nicht bestätigter Apps) hängt davon ab, von welchem Konto aus die App veröffentlicht wurde und welches Konto versucht, die App zu verwenden. Apps, die beispielsweise intern in einer bestimmten Google Workspace-Organisation veröffentlicht wurden, führen nicht zum Ablauf für die Autorisierung nicht bestätigter Apps für Konten in dieser Domain, auch wenn die App nicht bestätigt wurde.
In der folgenden Tabelle wird dargestellt, in welchen Fällen der Autorisierungsablauf für nicht bestätigte Apps verwendet wird:
| Der Kunde ist bestätigt | Der Publisher ist ein Google Workspace-Konto von Kunde A. | Script befindet sich in einer geteilten Ablage von Kunde A | Der Publisher ist ein Gmail-Konto | |
|---|---|---|---|---|
| Nutzer ist ein Google Workspace-Konto von Kunde A | Normaler Authentifizierungsablauf | Normaler Authentifizierungsablauf | Normaler Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf |
| Der Nutzer ist ein Google Workspace-Konto, das nicht zu Kundenkonto A gehört | Normaler Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf |
| Der Nutzer ist ein Gmail-Konto1 | Normaler Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf | Nicht bestätigter Authentifizierungsablauf |
1 Jedes Gmail-Konto, einschließlich des Kontos, mit dem die App veröffentlicht wurde.
Nutzerobergrenze
Die Anzahl der Nutzer, die eine App über den Ablauf für nicht überprüfte Apps autorisieren können, ist begrenzt, um möglichen Missbrauch zu verhindern. Weitere Informationen finden Sie unter Nutzerlimits für OAuth-Anwendungen.
Überprüfung beantragen
Sie können eine Überprüfung des von Ihrer App verwendeten OAuth-Clients und des zugehörigen GCP-Projekts (Google Cloud Platform) beantragen. Sobald Ihre App bestätigt wurde, wird Nutzern der Bildschirm für nicht überprüfte Apps nicht mehr angezeigt. Außerdem gilt für Ihre App dann nicht mehr die Nutzerobergrenze.
Voraussetzungen
Damit Sie Ihren OAuth-Client zur Überprüfung einreichen können, müssen Sie die folgenden Anforderungen erfüllen:
Sie müssen Inhaber einer Website auf einer Domain sein. Die Website muss öffentlich zugängliche Seiten enthalten, auf denen Ihre App und ihre Datenschutzerklärung beschrieben werden. Außerdem müssen Sie die Inhaberschaft der Website bei Google bestätigen.
Das Google Cloud-Projekt, das Ihr Script-Projekt verwendet, muss ein Google Cloud-Standardprojekt sein, für das Sie Bearbeitungszugriff haben. Wenn für Ihr Script das Standard-Google Cloud-Projekt verwendet wird, müssen Sie zu einem Google Cloud-Standardprojekt wechseln.
Außerdem benötigen Sie die folgenden erforderlichen Assets:
- Name der Anwendung Der Name der App, der auf dem Einwilligungsbildschirm angezeigt wird. Er muss mit dem Namen übereinstimmen, der für die App an anderer Stelle verwendet wird, z. B. im Google Workspace Marketplace-Eintrag für veröffentlichte Apps.
- App-Logo Ein JPEG-, PNG- oder BMP-Bild für das App-Logo, das auf dem Einwilligungsbildschirm verwendet werden soll. Die Dateigröße darf maximal 1 MB betragen.
- E-Mail-Adresse für den Support Dies ist eine E-Mail-Adresse, die auf dem Zustimmungsbildschirm angezeigt wird, unter der Nutzer sich an den App-Support wenden können. Es kann sich um Ihre E-Mail-Adresse oder um eine Google-Gruppe handeln, deren Inhaber Sie sind oder die Sie verwalten.
- Bereiche Die Liste aller Bereiche, die in Ihrer App verwendet werden. Sie können sich Ihre Bereiche im Apps Script-Editor ansehen.
- Autorisierte Domains Dies ist eine Liste von Domains mit Informationen zu Ihrer App. Alle Links Ihrer App (z. B. die Seite mit der erforderlichen Datenschutzerklärung) müssen auf autorisierten Domains gehostet werden.
- URL der Startseite der Anwendung Die URL einer Startseite, auf der Ihre App beschrieben wird. Diese Startseite muss auf einer autorisierten Domain gehostet werden.
- URL der Datenschutzerklärung der Anwendung Die URL der Seite, auf der die Datenschutzerklärung Ihrer App beschrieben wird. Dieser Speicherort muss auf einer autorisierten Domain gehostet werden.
Zusätzlich zu den oben genannten erforderlichen Assets können Sie optional eine URL zu den Nutzungsbedingungen der App angeben, die auf eine Seite mit den Nutzungsbedingungen Ihrer App verweist. Falls angegeben, muss sich dieser Standort in einer autorisierten Domain befinden.
Schritte
- Bestätigen Sie die Inhaberschaft aller autorisierten Domains, die Sie zum Hosten der Datenschutzerklärung und anderer Informationen Ihres Scriptprojekts verwenden. Die bestätigten Inhaber der Domains müssen Bearbeiter oder Inhaber des Scriptprojekts sein.
- Klicken Sie im Apps Script-Projekt auf Übersicht . Kopieren Sie unter OAuth-Bereiche des Projekts die Bereiche, die in Ihrem Script-Projekt verwendet werden.
Füllen Sie den OAuth-Zustimmungsbildschirm für das Google Cloud-Projekt Ihrer Anwendung mit den erfassten Text- und URL-Assets aus.
- Geben Sie die autorisierten Domains an, auf denen die Informationen Ihrer App (z. B. die Datenschutzerklärung) gehostet werden.
Klicken Sie auf Bereiche hinzufügen oder entfernen, um Anwendungsbereiche hinzuzufügen. Im daraufhin angezeigten Dialogfeld wird versucht, Bereiche für APIs automatisch zu erkennen, die Sie in der Google Cloud Console aktiviert haben, z. B. erweiterte Dienste. Sie können Bereiche aus dieser Liste auswählen, indem Sie die entsprechenden Kästchen anklicken.
Diese automatisch erkannte Liste enthält nicht immer Bereiche, die von integrierten Apps Script-Diensten verwendet werden. Sie müssen diese Bereiche unter Bereiche manuell hinzufügen eingeben.
Wenn Sie fertig sind, klicken Sie auf Aktualisieren.
Klicken Sie auf Speichern, wenn Sie alle erforderlichen Informationen eingegeben haben.
Klicken Sie auf Zur Bestätigung senden, um eine Bestätigungsanfrage zu starten.
Die meisten Bestätigungsanfragen werden innerhalb von 24 bis 72 Stunden beantwortet. Den Bestätigungsstatus finden Sie oben im Formular für den OAuth-Zustimmungsbildschirm. Wenn die Überprüfung Ihres OAuth-Clients abgeschlossen ist, ist auch Ihre App bestätigt.