खातों को अलग करना (अनलिंक करना)

लिंक हटाने की प्रोसेस, आपके प्लैटफ़ॉर्म या Google से शुरू की जा सकती है. दोनों पर लिंक की स्थिति एक जैसी दिखने से, उपयोगकर्ताओं को बेहतर अनुभव मिलता है. Google खाते को लिंक करने के लिए, टोकन रद्द करने वाले एंडपॉइंट या सभी खातों की सुरक्षा की सुविधा का इस्तेमाल करना ज़रूरी नहीं है.

खाते, इनमें से किसी भी वजह से अनलिंक हो सकते हैं:

• से मिला उपयोगकर्ता का अनुरोध
  • Google ऐप्लिकेशन या Google खाते की सेटिंग
  • आपका प्लैटफ़ॉर्म
• रीफ़्रेश टोकन की समयसीमा खत्म होने पर उसे रिन्यू नहीं किया जा सका
• आपके या Google के शुरू किए गए अन्य इवेंट. उदाहरण के लिए, गलत इस्तेमाल और जोखिम का पता लगाने वाली सेवाओं की वजह से खाता निलंबित किया जाना.

उपयोगकर्ता ने Google से अनलिंक करने का अनुरोध किया है

किसी उपयोगकर्ता के Google खाते या ऐप्लिकेशन से खाता अनलिंक करने पर, पहले जारी किए गए सभी ऐक्सेस और रीफ़्रेश टोकन मिट जाते हैं. साथ ही, उपयोगकर्ता की सहमति हट जाती है. इसके अलावा, अगर आपने टोकन रद्द करने वाला कोई एंडपॉइंट लागू किया है, तो यह उसे कॉल करता है. हालांकि, ऐसा करना ज़रूरी नहीं है.

उपयोगकर्ता ने आपके प्लैटफ़ॉर्म से खाता अनलिंक करने का अनुरोध किया है

आपको उपयोगकर्ताओं को खाता अनलिंक करने का विकल्प देना होगा. जैसे, उनके खाते का यूआरएल. अगर आपने उपयोगकर्ताओं को खाता अनलिंक करने का विकल्प नहीं दिया है, तो Google खाते का लिंक शामिल करें, ताकि उपयोगकर्ता अपने लिंक किए गए खाते को मैनेज कर सकें.

आपके पास जोखिम और घटना की जानकारी शेयर करने और मिलकर काम करने (आरआईएससी) की सुविधा लागू करने का विकल्प होता है. साथ ही, उपयोगकर्ताओं के खाते को लिंक करने की स्थिति में हुए बदलावों के बारे में Google को सूचना दी जा सकती है. इससे उपयोगकर्ता को बेहतर अनुभव मिलता है. इसमें आपका प्लैटफ़ॉर्म और Google, दोनों ही लिंकिंग की मौजूदा और एक जैसी स्थिति दिखाते हैं. इसके लिए, लिंकिंग की स्थिति को अपडेट करने के लिए, रीफ़्रेश या ऐक्सेस टोकन के अनुरोध पर निर्भर रहने की ज़रूरत नहीं होती.

टोकन के खत्म होने की अवधि

उपयोगकर्ताओं को बेहतर अनुभव देने और सेवा में रुकावट से बचने के लिए, Google रीफ़्रेश टोकन के खत्म होने से पहले उन्हें रिन्यू करने की कोशिश करता है. कुछ मामलों में, मान्य रीफ़्रेश टोकन उपलब्ध न होने पर, खातों को फिर से लिंक करने के लिए उपयोगकर्ता की सहमति ज़रूरी हो सकती है.

अपने प्लैटफ़ॉर्म को इस तरह से डिज़ाइन करें कि वह कई ऐसे ऐक्सेस और रीफ़्रेश टोकन के साथ काम कर सके जिनकी समयसीमा खत्म नहीं हुई है. इससे, क्लस्टर किए गए एनवायरमेंट के बीच क्लाइंट-सर्वर के इंटरैक्शन में मौजूद रेस कंडीशन को कम किया जा सकता है. साथ ही, उपयोगकर्ता को होने वाली रुकावट से बचा जा सकता है. इसके अलावा, समय और गड़बड़ी को हैंडल करने से जुड़े मुश्किल मामलों को कम किया जा सकता है. हालांकि, दोनों टोकन कुछ समय बाद एक जैसे हो जाते हैं. फिर भी, क्लाइंट-सर्वर टोकन रिन्यूअल एक्सचेंज के दौरान और क्लस्टर सिंक्रनाइज़ेशन से पहले, कुछ समय के लिए पिछले और नए टोकन, दोनों का इस्तेमाल किया जा सकता है. उदाहरण के लिए, Google आपकी सेवा से ऐसा अनुरोध करता है जिसमें पिछले ऐक्सेस टोकन का इस्तेमाल किया गया हो. यह अनुरोध, नया ऐक्सेस टोकन जारी करने के तुरंत बाद किया जाता है. हालांकि, Google को यह टोकन मिलने और क्लस्टर सिंक होने से पहले ही यह अनुरोध किया जाता है. हमारा सुझाव है कि आप रीफ़्रेश टोकन रोटेशन के लिए, सुरक्षा के वैकल्पिक तरीके इस्तेमाल करें.

अन्य इवेंट

खातों को अनलिंक करने की कई अन्य वजहें भी हो सकती हैं. जैसे, खाते का इस्तेमाल न होना, निलंबन, नुकसान पहुंचाने वाली गतिविधि वगैरह. ऐसे मामलों में, आपका प्लैटफ़ॉर्म और Google, उपयोगकर्ता खातों को बेहतर तरीके से मैनेज कर सकते हैं. साथ ही, खाते को फिर से लिंक कर सकते हैं. इसके लिए, दोनों को खाते और लिंक की स्थिति में हुए बदलावों के बारे में एक-दूसरे को सूचना देनी होगी.

Google के लिए, टोकन रद्द करने का एंडपॉइंट लागू करें. साथ ही, आरआईएससी का इस्तेमाल करके, Google को टोकन रद्द करने के इवेंट के बारे में सूचना दें. इससे यह पक्का किया जा सकेगा कि आपका प्लैटफ़ॉर्म और Google, उपयोगकर्ता खाते के लिंक होने की स्थिति को एक जैसा बनाए रखें.

टोकन रेवकेशन एंडपॉइंट

अगर आपका प्लैटफ़ॉर्म, OAuth 2.0 टोकन रद्द करने वाले एंडपॉइंट के साथ काम करता है, तो उसे Google से सूचनाएं मिल सकती हैं. इससे उपयोगकर्ताओं को लिंक किए गए खाते की स्थिति में हुए बदलावों के बारे में सूचना दी जा सकती है. साथ ही, टोकन को अमान्य किया जा सकता है. इसके अलावा, सुरक्षा क्रेडेंशियल और अनुमति से जुड़े अनुरोधों को मिटाया जा सकता है.

अनुरोध इस तरह का होता है:

POST /revoke HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&token=TOKEN&token_type_hint=refresh_token

टोकन रद्द करने वाले एंडपॉइंट में, इन पैरामीटर को मैनेज करने की सुविधा होनी चाहिए:

टोकन मिटा दिए जाने या अमान्य होने पर, जवाब दिखाएं. उदाहरण के लिए, यहां दिया गया तरीका देखें:

HTTP/1.1 200 Success
Content-Type: application/json;charset=UTF-8

अगर किसी वजह से टोकन नहीं मिटाया जा सकता, तो 503 रिस्पॉन्स कोड दिखाएं. उदाहरण के लिए, यहां दिखाया गया है:

HTTP/1.1 503 Service Unavailable
Content-Type: application/json;charset=UTF-8
Retry-After: HTTP-date / delay-seconds

Google, अनुरोध को बाद में फिर से भेजता है या Retry-After के अनुरोध के मुताबिक भेजता है.

क्रॉस-खाता सुरक्षा (आरआईएससी)

अगर आपने 'सभी खातों की सुरक्षा' सुविधा को चालू किया है, तो आपका प्लैटफ़ॉर्म Google को यह सूचना भेज सकता है ऐक्सेस या रीफ़्रेश टोकन निरस्त किए जाते हैं. इसकी मदद से, Google उपयोगकर्ताओं को लिंक की स्थिति में बदलाव करने, टोकन को अमान्य करने, सुरक्षा से जुड़े क्रेडेंशियल हटाने, और अनुमति देना.

'सभी खातों की सुरक्षा' सुविधा RISC मानक को OpenID Foundation.

सुरक्षा इवेंट का टोकन का इस्तेमाल, Google को टोकन रद्द होने की सूचना देने के लिए किया जाता है.

डिकोड किए जाने पर, टोकन रद्द करने का इवेंट कुछ ऐसा दिखेगा:

{
  "iss":"http://risc.example.com",
  "iat":1521068887,
  "aud":"google_account_linking",
  "jti":"101942095",
  "toe": "1508184602",
  "events": {
    "https://schemas.openid.net/secevent/oauth/event-type/token-revoked":{
      "subject_type": "oauth_token",
      "token_type": "refresh_token",
      "token_identifier_alg": "hash_SHA512_double",
      "token": "double SHA-512 hash value of token"
    }
  }
}

ऐसे सुरक्षा इवेंट टोकन जिनका इस्तेमाल, Google को टोकन रद्द होने के इवेंट की सूचना देने के लिए किया जाता है नीचे दी गई टेबल में दी गई ज़रूरी शर्तों का पालन करना होगा:

फ़ील्ड के टाइप और फ़ॉर्मैट के बारे में ज़्यादा जानने के लिए, देखें JSON वेब टोकन (JWT).