Verificação do cliente OAuth

Os clientes do Google OAuth que solicitam determinados escopos de OAuth confidenciais estão sujeitos à verificação do Google.

Se você não verificar o cliente OAuth do projeto de script, os usuários fora do seu domínio verão uma tela de app não verificado quando tentarem autorizar o script. Um fluxo de autorização não verificada permite que esses usuários autorizem e usem apps não verificados, mas somente após confirmarem que entendem os riscos. O número total de usuários não verificados do app também é limitado.

Para mais informações, consulte os seguintes artigos:

 

Tela do app não verificada
Figura 1: tela do app não verificado.
Fluxo de autorização de app não verificado
Figura 2: fluxo de autorização de app não verificado.

 

Essa alteração se aplica aos clientes da Web do Google OAuth, incluindo aqueles usados por todos os projetos do Apps Script. Ao verificar seu aplicativo com o Google, você pode remover a tela do app não verificado do fluxo de autorização e dar aos usuários a confiança de que o app não é malicioso.

Apps não verificados

Complementos, apps da Web e outras implantações (como aplicativos que usam a API Apps Script) podem precisar de verificação.

Aplicabilidade

Se o aplicativo usar escopos OAuth confidenciais, a tela do aplicativo não verificado poderá aparecer como parte do fluxo de autorização. A presença dele (e o fluxo de autorização de app não verificado resultante) depende da conta de onde o app foi publicado e da conta que está tentando usá-lo. Por exemplo, os apps publicados em uma organização específica do Google Workspace não resultam no fluxo de autorização de app não verificado para contas nesse domínio, mesmo que o app não tenha sido verificado.

A tabela a seguir ilustra quais situações resultam no fluxo de autorização de app não verificado:

O cliente é verificado O editor é uma conta do Google Workspace do cliente A O script está em um drive compartilhado do cliente A O editor é uma conta do Gmail
O usuário é uma conta do Google Workspace do cliente A Fluxo de autorização normal Fluxo de autorização normal Fluxo de autorização normal Fluxo de autenticação não verificado
O usuário é uma conta do Google Workspace não do cliente A Fluxo de autorização normal Fluxo de autenticação não verificado Fluxo de autenticação não verificado Fluxo de autenticação não verificado
O usuário é uma conta do Gmail1 Fluxo de autorização normal Fluxo de autenticação não verificado Fluxo de autenticação não verificado Fluxo de autenticação não verificado

1Qualquer conta do Gmail, incluindo a conta usada para publicar o app.

Limite de usuários

O número de usuários que podem autorizar um app pelo fluxo não verificado é limitado para limitar possíveis abusos. Consulte os limites de usuários do aplicativo OAuth para mais detalhes.

Solicitando verificação

É possível solicitar uma verificação do cliente OAuth usado pelo app e pelo projeto do Cloud Platform (GCP) associado. Depois que seu app for verificado, os usuários não verão mais a tela do app não verificado. Além disso, seu app não estará mais sujeito ao limite de usuários.

Requisitos

Para enviar seu cliente OAuth para verificação, é necessário atender aos seguintes requisitos:

  1. Você precisa ter um site em um domínio. O site precisa hospedar páginas acessíveis publicamente que descrevam seu app e a Política de Privacidade relacionada. Você também precisa verificar a propriedade do site com o Google.

  2. O projeto do Google Cloud que o projeto de script usa precisa ser um projeto padrão do Google Cloud a que você tem acesso para edição. Se o script estiver usando o projeto padrão do Google Cloud, será necessário alternar para um projeto padrão do Google Cloud.

Além disso, você precisa ter os seguintes recursos obrigatórios:

  • Nome do aplicativo. O nome do app, que é exibido na tela de consentimento. Ele precisa corresponder ao nome usado para o app em outros locais, como a listagem de apps publicados do Google Workspace Marketplace.
  • Logotipo do aplicativo. Uma imagem do logotipo do app JPEG, PNG ou BMP para usar na tela de consentimento. O tamanho do arquivo deve ser de 1 MB ou menos.
  • E-mail para suporte. Esse e-mail aparece na tela de consentimento para que os usuários entrem em contato se precisarem de suporte para o app. Pode ser seu endereço de e-mail ou um Grupo do Google que você possui ou gerencia.
  • Escopos. A lista de todos os escopos usados pelo app. É possível ver seus escopos no editor do Apps Script.
  • Domínios autorizados: Essa é uma lista de domínios que contêm informações sobre seu app. Todos os links do app (como a página obrigatória da Política de Privacidade) precisam ser hospedados em domínios autorizados.
  • URL da página inicial do aplicativo. É o local de uma página inicial que descreve seu app. Esse local precisa estar hospedado em um domínio autorizado.
  • URL da Política de Privacidade do aplicativo. O local de uma página que descreve a Política de Privacidade do seu app. Esse local precisa estar hospedado em um domínio autorizado.

Além dos recursos obrigatórios acima, você tem a opção de fornecer um URL dos Termos de Serviço do aplicativo que direcione para uma página com a descrição dos Termos de Serviço do seu app. Se fornecido, esse local precisa estar em um domínio autorizado.

Passos

  1. Caso ainda não tenha feito isso, verifique a propriedade de todos os domínios autorizados que você usa para hospedar a Política de Privacidade do projeto de script e outras informações. Os proprietários verificados dos domínios precisam ser editores ou proprietários do projeto de script.
  2. No projeto do Apps Script, clique em Visão geral . Em Escopos do OAuth do projeto, copie os escopos usados pelo projeto de script.
  3. Preencha a tela de permissão OAuth do projeto do Google Cloud do seu aplicativo usando os recursos de texto e URL coletados.

    1. Liste os domínios autorizados em que as informações do seu app, como a Política de Privacidade, estão hospedadas.
    2. Para adicionar escopos do aplicativo, clique em Adicionar ou remover escopos. A caixa de diálogo exibida tenta detectar automaticamente os escopos das APIs ativadas no console do Google Cloud, como os serviços avançados. Para selecionar escopos da lista, marque as caixas correspondentes.

      Essa lista de detecção automática nem sempre inclui escopos usados pelos serviços integrados do Apps Script. Insira esses escopos em Adicionar escopos manualmente.

      Quando terminar, clique em Atualizar.

  4. Depois de inserir todas as informações necessárias, clique em Salvar.

  5. Clique em Enviar para verificação e inicie um pedido de verificação.

A maioria das solicitações de verificação recebe uma resposta dentro de 24 a 72 horas. Você pode conferir o Status da verificação na parte superior do formulário da tela de consentimento do OAuth. Quando a verificação do cliente OAuth for confirmada, o app será verificado.