Los clientes de OAuth de Google que solicitan ciertos alcances sensibles de OAuth están sujetos a la verificación de Google.
Si no verificas el cliente OAuth de tu proyecto de secuencia de comandos, los usuarios fuera de tu dominio ven una pantalla de app no verificada cuando intentan autorizar tu secuencia de comandos. Un flujo de autorización sin verificar permite a estos usuarios autorizar apps no verificadas y usarlas, pero solo después de confirmar que comprenden los riesgos. También se limita la cantidad total de usuarios no verificados de apps.
Para obtener más información, consulta los siguientes artículos:
- Apps sin verificar
- Preguntas frecuentes sobre la verificación de aplicaciones de OAuth
- Política sobre los datos del usuario de los servicios de las API de Google
Este cambio se aplica a los clientes web de Google OAuth, incluidos los que usan todos los proyectos de Apps Script. Si verificas tu app con Google, podrás quitar la pantalla de la app no verificada del flujo de autorización y darles la certeza de que la app no es maliciosas.
Apps sin verificar
Es posible que debas verificar los complementos, las aplicaciones web y otras implementaciones (como las que usan la API de Apps Script).
Aplicabilidad
Si la app usa permisos de OAuth sensibles, es posible que aparezca la pantalla de la app no verificada como parte del flujo de autorización. Su presencia (y el resultado del flujo de autorización de apps no verificado) depende de la cuenta desde la que se publique la app y la cuenta que intente usarla. Por ejemplo, las apps publicadas en una organización específica de Google Workspace no generarán el flujo de autorización de apps no verificado de las cuentas del dominio, incluso si no se verificaron.
En la siguiente tabla, se ilustran las situaciones que generan el flujo de autorización de apps sin verificar:
| El cliente está verificado | El publicador es una cuenta de Google Workspace del cliente A. | La secuencia de comandos está en una unidad compartida del cliente A | El editor es una cuenta de Gmail. | |
|---|---|---|---|---|
| El usuario es una cuenta de Google Workspace del cliente A | Flujo de autenticación normal | Flujo de autenticación normal | Flujo de autenticación normal | Flujo de autenticación no verificado |
| El usuario es una cuenta de Google Workspace no del cliente A. | Flujo de autenticación normal | Flujo de autenticación no verificado | Flujo de autenticación no verificado | Flujo de autenticación no verificado |
| El usuario es una cuenta de Gmail1 | Flujo de autenticación normal | Flujo de autenticación no verificado | Flujo de autenticación no verificado | Flujo de autenticación no verificado |
1Cualquier cuenta de Gmail, incluida la cuenta que se usó para publicar la app.
Tope de usuarios
La cantidad de usuarios que pueden autorizar una app mediante el flujo no verificado se limita a posibles abusos. Consulta los límites de usuarios de la aplicación OAuth para obtener más información.
Cómo solicitar la verificación
Puedes solicitar la verificación del cliente de OAuth que usa tu aplicación y su proyecto de Cloud Platform (GCP) asociado. Una vez que se verifique la app, los usuarios ya no verán la pantalla. Además, tu app ya no estará sujeta al límite de usuarios.
Requisitos
Si deseas enviar tu cliente de OAuth para la verificación, debes cumplir con los siguientes requisitos:
Debes ser el propietario de un sitio web en un dominio. El sitio debe alojar páginas de acceso público que describan tu app y su política de privacidad. También debes verificar la propiedad del sitio con Google.
El proyecto de GCP que usa tu proyecto de secuencia de comandos debe ser un proyecto de GCP estándar para el que tengas acceso de edición. Si tu secuencia de comandos usa su proyecto de GCP predeterminado, debes cambiar a un proyecto de GCP estándar.
Además, debes tener los siguientes elementos obligatorios:
- Nombre de la aplicación. El nombre de la app; se muestra en la pantalla de consentimiento Debe coincidir con el nombre usado para la app en otras ubicaciones, como la lista de Google Workspace Marketplace para apps publicadas.
- Logotipo de la app. Una imagen JPEG, PNG o BMP del logotipo de la app que se usará en la pantalla de consentimiento. Su tamaño del archivo debe ser de 1 MB o menos.
- Correo electrónico de asistencia. Este es un correo electrónico que se muestra en la pantalla de consentimiento para que los usuarios se comuniquen con ellos si necesitan asistencia con la app. Puede ser tu dirección de correo electrónico o un grupo de Google que administres o del que seas el propietario.
- Alcances. La lista de todos los alcances que usa tu app. Puedes ver tus alcances en el editor de Apps Script.
- Dominios autorizados: Esta es una lista de dominios que contienen información sobre tu app. Todos los vínculos de tu aplicación (como la página de la política de privacidad requerida) deben estar alojados en dominios autorizados.
- URL de la página principal de la aplicación. La ubicación de la página principal que describe tu aplicación. Esta ubicación debe estar alojada en un dominio autorizado.
- URL de la Política de Privacidad de la aplicación. Es la ubicación de una página que describe la Política de Privacidad de tu app. Esta ubicación debe estar alojada en un dominio autorizado.
Además de los recursos necesarios, puedes proporcionar una URL de Condiciones del servicio de la aplicación que dirija a una página en la que se describan las Condiciones del Servicio de la app. Si se proporciona, esta ubicación debe estar en un dominio autorizado.
Pasos
- Si aún no lo hiciste, verifica la propiedad de todos los dominios autorizados que usas para alojar la política de privacidad del proyecto de secuencia de comandos y otra información. Los propietarios verificados de los dominios deben ser editores o el propietario del proyecto de secuencia de comandos.
- En el proyecto de Apps Script, haz clic en Descripción general . En Alcances de OAuth del proyecto, copia los permisos que usa tu proyecto de secuencia de comandos.
Completa la pantalla de consentimiento de OAuth para el proyecto de Google Cloud de tu aplicación con los elementos de texto y URL que recopilaste.
- Enumera los Dominios autorizados en los que se aloja la información de tu app (como su política de privacidad).
Para agregar los alcances de tu aplicación, haz clic en Agregar o quitar alcances. El diálogo resultante intenta detectar de forma automática los permisos de las API que habilitaste en Cloud Console (como los servicios avanzados). Para seleccionar los permisos de esta lista, marca las casillas correspondientes.
Esta lista de detección automática no siempre incluye los alcances que usan los servicios integrados de Apps Script. Debes ingresar estos permisos en Agrega permisos manualmente.
Cuando hayas terminado, haz clic en Actualizar.
Una vez que haya ingresado toda la información necesaria, haga clic en Guardar.
Haz clic en Enviar para verificación a fin de iniciar una solicitud de verificación.
La mayoría de las solicitudes de verificación reciben una respuesta en un plazo de 24 a 72 horas. Puedes verificar el Estado de verificación en la parte superior del formulario de la pantalla de consentimiento de OAuth. Cuando se confirma la verificación de tu cliente de OAuth, se verifica la app.