Toutes les applications qui accèdent aux API Google doivent vérifier qu'elles représentent précisément leur identité et leur intention, comme spécifié dans le Règlement sur les données utilisateur dans les services d'API Google. Pour vous protéger, vous et les utilisateurs partagés de Google et de votre application, votre écran de consentement et votre application peuvent nécessiter d'être validés par Google.
Votre application doit être validée si elle répond à tous les critères suivants:
- Dans Google API Console, la configuration de votre application est définie sur un type d'utilisateur externe. Cela signifie que votre application est disponible pour tous les utilisateurs disposant d'un compte Google.
- Vous souhaitez que votre application affiche un logo ou un nom à afficher sur l'écran de consentement OAuth.
Si vous incluez des informations sur votre marque validées, vous pouvez augmenter la probabilité qu'un utilisateur reconnaisse votre marque et décide d'accorder l'accès à votre application. Les informations sur votre marque validées peuvent également réduire le nombre de révocations ultérieurement, lorsqu'un utilisateur ou un administrateur Google Workspace examine les applications et services tiers ayant accès au compte. La procédure de validation de la marque sur l'écran de consentement OAuth prend généralement deux à trois jours ouvrés après l'envoi de la demande de validation.
Si vous ne soumettez pas votre demande de validation de marque, la confiance des utilisateurs envers votre demande de données peut diminuer, ce qui peut entraîner moins d'autorisations et plus de révocations par la suite.
Écran de consentement OAuth
L'écran de consentement indique aux utilisateurs qui demande l'accès à leurs données et à quel type de données votre application doit accéder en leur nom, comme indiqué dans la zone 2 de la figure 1.
Lorsque votre application passe par le processus de validation de la marque et reçoit l'approbation, les règles concernant l'identité et les données utilisateur de votre application sont plus susceptibles d'être clairement comprises par le compte qui accorde l'autorisation. Cette compréhension claire peut augmenter la probabilité qu'un titulaire de compte autorise vos demandes et maintienne l'accès lorsqu'il examine les révocations possibles sur la page de son compte Google. Le contenu que vous configurez sur l'OAuth dans le renseigne les composants suivants:
- Nom et logo de votre application (comme indiqué dans la zone 1 de la figure 1)
- Votre adresse e-mail d'assistance utilisateur, qui s'affiche une fois que vous avez sélectionné le nom de votre application (case 2 de l'image 1)
- Liens vers vos règles de confidentialité et vos conditions d'utilisation (cadre 3 de la figure 1)
Domaines autorisés
Dans le cadre du processus de validation de la marque, Google exige la validation de tous les domaines associés à l'écran d'autorisation OAuth et aux identifiants d'une application. Nous vous demandons de valider le composant de domaine disponible pour l'enregistrement sur un suffixe public: le domaine privé de premier niveau. Par exemple, un écran d'autorisation OAuth configuré avec une page d'accueil de l'application https://sub.example.com/product demande au titulaire du compte de valider la propriété du domaine example.com.
La section Domaines autorisés de l'éditeur de l'écran de consentement OAuth doit contenir les domaines privés de premier niveau utilisés dans les URI de la section Domaine de l'application. Ces domaines incluent la page d'accueil de l'application, ses règles de confidentialité et ses conditions d'utilisation. La section Domaines autorisés doit également inclure les URI de redirection et/ou les origines JavaScript autorisées dans vos types de clients OAuth "Application Web".
Validez la propriété de vos domaines autorisés à l'aide de la Google Search Console. Un compte Google disposant des autorisations de propriétaire pour un domaine doit être associé au projet API Console qui utilise ce domaine autorisé. Pour en savoir plus sur la validation de domaine dans la Google Search Console, consultez Valider la propriété de votre site.
Étapes à suivre pour préparer la validation
Toutes les applications qui utilisent les API Google pour demander l'accès à des données doivent suivre la procédure ci-dessous pour valider la marque:
- Vérifiez que votre application ne correspond à aucun des cas d'utilisation de la section Exceptions aux exigences de validation.
- Assurez-vous que votre application respecte les exigences de branding des API ou du produit associés. Par exemple, consultez les consignes relatives au branding pour les portées Google Sign-In.
- Validez la propriété des domaines autorisés de votre projet dans la Google Search Console. Utilisez un compte Google associé à votre projet API Console en tant que propriétaire ou éditeur.
- Assurez-vous que toutes les informations de branding sur l'écran d'autorisation OAuth, telles que le nom de l'application, l'adresse e-mail d'assistance, l'URI de la page d'accueil, l'URI des règles de confidentialité, etc., représentent précisément l'identité de l'application.
Exigences concernant la page d'accueil de l'application
Assurez-vous que votre page d'accueil respecte les conditions suivantes:
- Votre page d'accueil doit être accessible à tous les internautes, et pas seulement aux utilisateurs connectés à votre site.
- La pertinence de votre page d'accueil par rapport à l'application en cours d'examen doit être claire.
- Les liens vers la fiche de votre application sur le Google Play Store ou sa page Facebook ne sont pas considérés comme des pages d'accueil d'application valides.
Exigences concernant le lien vers les règles de confidentialité de l'application
Assurez-vous que les règles de confidentialité de votre application respectent les exigences suivantes:
- Les règles de confidentialité doivent être visibles par les utilisateurs, hébergées sur le même domaine que la page d'accueil de votre application et associées à l'écran d'autorisation OAuth de l' Google API Console. Notez que la page d'accueil doit inclure une description des fonctionnalités de l'application, ainsi que des liens vers les règles de confidentialité et les conditions d'utilisation facultatives.
- Les règles de confidentialité doivent indiquer la manière dont votre application accède, utilise, stocke ou partage les données utilisateur Google. Vous devez limiter votre utilisation des données utilisateur Google aux pratiques décrites dans vos règles de confidentialité publiées.
Envoyer votre application pour validation
Un projet organise toutes vos ressources . Un projet comprend un ensemble de comptes Google associés autorisés à effectuer des opérations de projet, un ensemble d'API activées, ainsi que des paramètres de facturation, d'authentification et de surveillance pour ces API. Par exemple, un projet peut contenir un ou plusieurs clients OAuth, configurer des API à utiliser par ces clients et configurer un écran de consentement OAuth qui s'affiche auprès des utilisateurs avant qu'ils n'autorisent l'accès à votre application.
Si l'un de vos clients OAuth n'est pas prêt pour la production, nous vous suggérons de le supprimer du projet qui demande la validation. Vous pouvez le faire dans .
Pour demander la validation de votre compte, procédez comme suit:
- Assurez-vous que votre application respecte les Conditions d'utilisation des API Google et le Règlement sur les données utilisateur dans les services d'API Google.
- Mettez à jour les rôles de propriétaire et d'éditeur des comptes associés à votre projet, ainsi que l'adresse e-mail d'assistance utilisateur et les coordonnées du développeur de l'écran d'autorisation OAuth, dans votre . Vous vous assurez ainsi que les membres appropriés de votre équipe sont informés de toute nouvelle exigence.
- Accédez au Centre de validation OAuth.
- Cliquez sur le bouton Sélecteur de projet.
-
Dans la boîte de dialogue Sélectionner qui s'affiche, sélectionnez votre projet. Si vous ne trouvez pas votre projet, mais que vous connaissez son ID, vous pouvez créer une URL dans votre navigateur au format suivant:
?project=[PROJECT_ID]
Remplacez [PROJECT_ID] par l'ID du projet que vous souhaitez utiliser.
- Sélectionnez le bouton Modifier l'application.
- Saisissez les informations nécessaires sur la page de l'écran d'autorisation OAuth, puis sélectionnez le bouton Enregistrer et continuer.
- Utilisez le bouton Ajouter ou supprimer des champs d'application pour déclarer tous les champs d'application demandés par votre application. Un ensemble initial de champs d'application nécessaires pour Google Sign-In est prérempli dans la section Champs d'application non sensibles. Les niveaux d'accès ajoutés sont classés comme non sensibles, sensitive, or restricted.
- Fournissez un maximum de trois liens vers toute documentation pertinente pour les fonctionnalités associées de votre application.
-
Fournissez toutes les informations supplémentaires demandées concernant votre application lors des étapes suivantes.
- Si la configuration de l'application que vous fournissez doit être validée, vous pouvez la soumettre à validation. Remplissez les champs obligatoires, puis cliquez sur Envoyer pour lancer le processus de validation.
Une fois que vous avez envoyé votre application, l'équipe Trust & Safety de Google vous contacte par e-mail pour vous fournir les informations supplémentaires dont elle a besoin ou les étapes que vous devez suivre. Vérifiez vos adresses e-mail dans la section Coordonnées du développeur et l'adresse e-mail d'assistance de votre écran d'autorisation OAuth pour les demandes d'informations supplémentaires. Vous pouvez également consulter la page de l'écran d'autorisation OAuth de votre projet pour confirmer son état d'examen actuel, y compris si le processus d'examen est mis en veille en attendant votre réponse.
Exceptions aux exigences de validation
Si votre application sera utilisée dans l'un des scénarios décrits dans les sections suivantes, vous n'avez pas besoin de la soumettre pour examen.
Usage personnel
Par exemple, si vous êtes le seul utilisateur de votre application ou si elle n'est utilisée que par quelques utilisateurs que vous connaissez personnellement. Vous et votre nombre limité d'utilisateurs pouvez passer à l'écran de l'application non validée et accorder à vos comptes personnels l'accès à votre application.
Projets utilisés dans le développement, les tests ou l'environnement de préproduction tiers
Pour respecter les règles Google OAuth 2.0, nous vous recommandons de disposer de projets distincts pour les environnements de test et de production. Nous vous recommandons de ne soumettre votre application à validation que si vous souhaitez la rendre disponible pour tous les utilisateurs disposant d'un compte Google. Par conséquent, si votre application est en phase de développement, de test ou de préproduction, la validation n'est pas requise.
Si votre application est en phase de développement ou de test, vous pouvez laisser l'état de publication Publishing Status (État de publication) sur la valeur par défaut Testing (Test). Ce paramètre signifie que votre application est toujours en cours de développement et n'est accessible qu'aux personnes figurant sur votre liste d'utilisateurs tests. Vous devez gérer la liste des comptes Google impliqués dans le développement ou les tests de votre application.
Données appartenant au service uniquement
Si votre application utilise un compte de service pour n'accéder qu'à ses propres données et qu'elle n'accède à aucune donnée utilisateur (associée à un compte Google), vous n'avez pas besoin de demander la validation.
Pour en savoir plus sur les comptes de service, consultez la section Comptes de service dans la documentation Google Cloud. Pour savoir comment utiliser un compte de service, consultez la page Utiliser OAuth 2.0 pour les applications de serveur à serveur.
Ils sont réservés à un usage interne
Cela signifie que l'application n'est utilisée que par les membres de votre organisation Google Workspace ou Cloud Identity. Le projet doit appartenir à l'organisation, et son écran de consentement OAuth doit être configuré pour un type d'utilisateur interne. Dans ce cas, votre application peut nécessiter l'approbation d'un administrateur de l'organisation. Pour en savoir plus, consultez la section Remarques supplémentaires pour Google Workspace.
- En savoir plus sur les applications publiques et internes
- Découvrez comment marquer votre application comme interne dans la FAQ Comment puis-je marquer mon application comme étant réservée à un usage interne ?
Installation au niveau du domaine
Si vous prévoyez que votre application ne ciblera que les utilisateurs d'une organisation Google Workspace ou Cloud Identity et que vous utiliserez toujours une installation à l'échelle du domaine, elle ne nécessitera pas de validation. En effet, une installation au niveau du domaine permet à un administrateur de domaine d'autoriser les applications tierces et internes à accéder aux données de vos utilisateurs. Seuls les administrateurs de l'organisation peuvent ajouter l'application à une liste d'autorisation pour l'utiliser dans leurs domaines.
Découvrez comment installer votre application au niveau du domaine dans les questions fréquentes Mon application comporte des utilisateurs disposant de comptes professionnels d'un autre domaine Google Workspace.