Os clientes do Google OAuth que solicitam determinados escopos confidenciais do OAuth estão sujeitos à verificação do Google.
Se você não verificar o cliente OAuth do projeto de script, os usuários fora do seu domínio verão uma tela de app não verificado quando tentarem autorizar o script. Um fluxo de autorização não verificada permite que esses usuários autorizem e utilizem aplicativos não verificados, mas somente após confirmarem que entendem os riscos. O número total de usuários do app não verificados também é limitado.
Para mais informações, consulte os seguintes artigos:
- Apps não verificados
- Perguntas frequentes sobre a Verificação de apps OAuth
- Serviços de API do Google: política de dados do usuário
Essa alteração se aplica aos clientes da Web do Google OAuth, incluindo aqueles usados por todos os projetos do Apps Script. Ao verificar seu app com o Google, você pode remover a tela do app não verificado do seu fluxo de autorização e dá aos usuários a confiança de que o app não é malicioso.
Apps não verificados
Complementos, apps da Web e outras implantações (como aplicativos que usam a API Apps Script) podem precisar de verificação.
Aplicabilidade
Se o app usar escopos OAuth confidenciais, a tela do app não verificado poderá aparecer como parte do fluxo de autorização. A presença dele (e o fluxo de autorização de app não verificado resultante) depende da conta de onde o app foi publicado e da conta que está tentando usá-lo. Por exemplo, os apps publicados em uma organização específica do Google Workspace não resultam no fluxo de autorização de app não verificado para contas nesse domínio, mesmo que o app não tenha sido verificado.
A tabela a seguir ilustra quais situações resultam no fluxo de autorização do app não verificado:
| O cliente foi verificado | O editor é uma conta do Google Workspace do cliente A | O script está em um drive compartilhado do cliente A | O editor é uma conta do Gmail | |
|---|---|---|---|---|
| O usuário é uma conta do Google Workspace do cliente A | Fluxo de autenticação normal | Fluxo de autenticação normal | Fluxo de autenticação normal | Fluxo de autenticação não verificado |
| O usuário é uma conta do Google Workspace não do cliente A | Fluxo de autenticação normal | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado |
| O usuário é uma conta do Gmail1 | Fluxo de autenticação normal | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado | Fluxo de autenticação não verificado |
1Qualquer conta do Gmail, incluindo a conta usada para publicar o app.
Limite de usuários
O número de usuários que podem autorizar um app por meio do fluxo de app não verificado é limitado para restringir possíveis abusos. Consulte os limites de usuários do aplicativo OAuth para mais detalhes.
Solicitando verificação
Você pode solicitar uma verificação do cliente OAuth usado pelo app e pelo projeto do Cloud Platform (GCP) associado. Depois que seu app for verificado, a tela do app não verificado não será mais exibida para os usuários. Além disso, seu app não estará mais sujeito ao limite de usuários.
Requisitos
Para enviar o cliente OAuth para verificação, é necessário atender aos seguintes requisitos:
Você deve ter um site em um domínio. O site precisa hospedar páginas acessíveis publicamente que descrevam seu app e a Política de Privacidade relacionada. Você também precisa verificar a propriedade do site com o Google.
O projeto do Google Cloud usado pelo projeto de script precisa ser um projeto padrão do Google Cloud a que você tenha acesso para editar. Se o script estiver usando o projeto padrão do Google Cloud, será necessário alternar para um projeto padrão do Google Cloud.
Além disso, você precisa ter os seguintes recursos obrigatórios:
- Nome do aplicativo. O nome do app, que é exibido na tela de consentimento. Ele precisa corresponder ao nome usado para o app em outros locais, como na listagem do Google Workspace Marketplace para apps publicados.
- Logotipo do aplicativo. Uma imagem JPEG, PNG ou BMP do logotipo do app para usar na tela de consentimento. O tamanho do arquivo deve ser de 1 MB ou menos.
- E-mail de suporte. Esse é um e-mail exibido na tela de consentimento para que os usuários entrem em contato se precisarem de suporte para o app. Pode ser seu endereço de e-mail ou um Grupo do Google que você possui ou gerencia.
- Escopos. A lista de todos os escopos usados pelo app. É possível ver os escopos no editor do Apps Script.
- Domínios autorizados: Esta é uma lista de domínios com informações sobre seu app. Todos os links do seu app (como a página obrigatória da Política de Privacidade) precisam ser hospedados em domínios autorizados.
- URL da página inicial do aplicativo. É o local de uma página inicial que descreve seu app. Esse local precisa estar hospedado em um domínio autorizado.
- URL da Política de Privacidade do aplicativo. É o local de uma página que descreve a Política de Privacidade do seu app. Esse local precisa estar hospedado em um domínio autorizado.
Além dos recursos obrigatórios acima, é possível fornecer um URL dos termos de serviço do aplicativo que direcione a uma página com a descrição dos Termos de Serviço do app. Se fornecido, esse local precisa estar em um domínio autorizado.
Passos
- Verifique a propriedade de todos os domínios autorizados usados para hospedar a Política de Privacidade do projeto de script e outras informações, caso ainda não tenha feito isso. Os proprietários verificados dos domínios precisam ser editores ou proprietários do projeto de script.
- No projeto do Apps Script, clique em Visão geral . Em Escopos do OAuth do projeto, copie os escopos usados pelo projeto de script.
Preencha a tela de permissão OAuth do projeto do Google Cloud do seu aplicativo usando os recursos de texto e URL que você coletou.
- Liste os domínios autorizados em que as informações do seu app (como a Política de Privacidade) estão hospedadas.
Para adicionar escopos do aplicativo, clique em Adicionar ou remover escopos. A caixa de diálogo resultante tenta detectar automaticamente os escopos das APIs ativadas no console do Google Cloud (como serviços avançados). É possível selecionar escopos da lista marcando as caixas correspondentes.
Essa lista de detecção automática nem sempre inclui escopos usados pelos serviços integrados do Apps Script. Digite esses escopos em Adicionar escopos manualmente.
Quando terminar, clique em Atualizar.
Depois de inserir todas as informações necessárias, clique em Salvar.
Clique em Enviar para verificação para iniciar um pedido de verificação.
A maioria das solicitações de verificação recebe uma resposta dentro de 24 a 72 horas. Você pode conferir o Status da verificação na parte de cima do formulário da tela de consentimento do OAuth. Quando a verificação do cliente OAuth for confirmada, o app será verificado.