Все приложения, обращающиеся к API Google, должны подтвердить, что они точно отражают свою идентичность и намерения в соответствии с политикой Google в отношении пользовательских данных API-сервисов . Для защиты вас и пользователей вашего приложения, экран согласия и само приложение могут потребовать подтверждения от Google.
Ваше приложение требует проверки, если оно соответствует всем следующим критериям:
- В консоли Google API для конфигурации вашего приложения указан тип пользователя «Внешний» и статус публикации «Опубликовано» . Это означает, что ваше приложение находится в рабочем режиме и доступно любому пользователю с учетной записью Google.
- Вы хотите, чтобы ваше приложение отображало логотип или название на экране согласия OAuth .
Проверка информации о бренде вашего приложения повышает вероятность того, что пользователь узнает ваш бренд и решит предоставить доступ к нему. Проверка информации о бренде также может привести к уменьшению количества отказов в дальнейшем, когда пользователь или администратор Google Workspace будет проверять сторонние приложения и сервисы, имеющие доступ к учетной записи . Автоматизированный процесс проверки бренда обычно занимает несколько минут после нажатия кнопки «Проверить бренд» . В некоторых случаях, когда результат не может быть определен автоматически, ваше приложение может пройти ручную проверку, которая обычно занимает 2-3 рабочих дня .
Если информация о бренде вашего приложения останется непроверенной, это может привести к снижению доверия пользователей к вашему запросу на предоставление их данных, что, в свою очередь, может привести к уменьшению количества разрешений и увеличению числа отказов в дальнейшем.
Экран согласия OAuth
Экран согласия сообщает пользователям, кто запрашивает доступ к их данным и к каким именно данным вашему приложению необходим доступ от их имени, как показано в блоке 2 на рисунке 1.
Когда ваше приложение проходит процесс проверки бренда и получает одобрение, политика вашего приложения в отношении идентификации и пользовательских данных с большей вероятностью будет понятна учетной записи, предоставляющей разрешение. Такое четкое понимание может повысить вероятность того, что владелец учетной записи одобрит ваши запросы и сохранит доступ при просмотре возможных аннулирований на странице своей учетной записи Google . Содержимое, которое вы настраиваете на странице брендинга OAuth в Cloud Console, заполняет следующие компоненты:
- Название и логотип вашего приложения (как показано в блоке 1 рисунка 1)
- Адрес электронной почты службы поддержки пользователей, который отображается после выбора названия вашего приложения (блок 2 на рисунке 1).
- Ссылки на вашу политику конфиденциальности и условия предоставления услуг (блок 3 на рисунке 1)
Авторизованные домены
В рамках процесса проверки бренда Google требует подтверждения всех доменов, связанных с экраном согласия OAuth и учетными данными приложения. Мы просим вас подтвердить компонент домена, доступный для регистрации с публичным суффиксом: « верхний частный домен ». Например, экран согласия OAuth, настроенный с домашней страницей приложения https://sub.example.com/product , запрашивает у владельца учетной записи подтверждение владения доменом example.com .
В разделе «Авторизованные домены» редактора экрана согласия OAuth необходимо указать основные частные домены, используемые в URI раздела « Домен приложения» . К этим доменам относятся домашняя страница приложения, политика конфиденциальности и условия обслуживания. В разделе «Авторизованные домены» также необходимо указать URI перенаправления и/или источники JavaScript, разрешенные в типах клиентов OAuth «Веб-приложение».
Подтвердите право собственности на авторизованные домены с помощью Google Search Console . Для этого проекта API Console, использующего данный авторизованный домен, должна быть связана учетная запись Google с правами владельца домена . Дополнительную информацию о проверке доменов в Google Search Console см. в разделе «Подтверждение права собственности на сайт» .
Этапы подготовки к проверке
Все приложения, использующие API Google для запроса доступа к данным, должны выполнить следующие шаги для завершения проверки бренда:
- Убедитесь, что ваше приложение не подпадает ни под один из вариантов использования, указанных в разделе «Исключения из требований к проверке» .
- Убедитесь, что ваше приложение соответствует требованиям к фирменному стилю соответствующих API или продуктов. Например, ознакомьтесь с рекомендациями по фирменному стилю для областей действия Google Sign-In.
- Подтвердите право собственности на авторизованные домены вашего проекта в Google Search Console . Используйте учетную запись Google, связанную с вашим проектом в API Console, в качестве владельца или редактора.
- Убедитесь, что вся информация о бренде на экране согласия OAuth, такая как название приложения, адрес электронной почты службы поддержки, URI домашней страницы, URI политики конфиденциальности и т. д., точно отражает идентичность приложения.
Требования к главной странице приложения
Убедитесь, что ваша главная страница соответствует следующим требованиям:
- Ваша главная страница должна быть общедоступной, а не только доступной для зарегистрированных пользователей сайта.
- Необходимо четко обозначить связь вашей главной страницы с рассматриваемым приложением.
- Ссылки на страницу вашего приложения в Google Play Store или на его страницу в Facebook не считаются действительными домашними страницами приложений.
Требования к ссылке на политику конфиденциальности приложения
Убедитесь, что политика конфиденциальности вашего приложения соответствует следующим требованиям:
- Политика конфиденциальности должна быть видна пользователям, размещена в том же домене, что и главная страница вашего приложения, и содержать ссылку на нее на экране согласия OAuth в консоли Google API. Обратите внимание, что главная страница должна включать описание функциональности приложения, а также ссылки на политику конфиденциальности и, при необходимости, условия использования.
- В политике конфиденциальности необходимо указать, каким образом ваше приложение получает доступ к пользовательским данным Google, использует, хранит или передает их третьим лицам. Вы должны ограничить использование пользовательских данных Google в соответствии с правилами, изложенными в вашей опубликованной политике конфиденциальности.
Как отправить приложение на проверку на соответствие бренду
Проект Google Cloud Console организует все ваши ресурсы Cloud Console. Проект состоит из набора связанных учетных записей Google, имеющих разрешение на выполнение операций проекта, набора включенных API, а также настроек выставления счетов, аутентификации и мониторинга для этих API. Например, проект может содержать один или несколько клиентов OAuth, настраивать API для использования этими клиентами и настраивать экран согласия OAuth, который отображается пользователям перед тем, как они разрешат доступ к вашему приложению.
Если какой-либо из ваших OAuth-клиентов не готов к использованию в производственной среде, мы рекомендуем удалить его из проекта, запрашивающего верификацию. Это можно сделать на странице «Клиенты» .
Для отправки запроса на проверку выполните следующие шаги:
- Убедитесь, что ваше приложение соответствует Условиям использования API Google и Политике обработки пользовательских данных сервисов API Google .
- В консоли Cloud Console необходимо поддерживать в актуальном состоянии роли владельца и редактора для связанных с вашим проектом учетных записей, а также адрес электронной почты службы поддержки пользователей и контактную информацию разработчиков на экране согласия OAuth. Это гарантирует, что нужные члены вашей команды будут уведомлены о любых новых требованиях.
- Перейдите на страницу брендинга OAuth в Cloud Console.
- Нажмите кнопку выбора проекта .
В появившемся диалоговом окне «Выбрать из» выберите свой проект. Если вы не можете найти свой проект, но знаете его идентификатор, вы можете сформировать URL-адрес в браузере в следующем формате:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Замените [PROJECT_ID] на идентификатор проекта, который вы хотите использовать.
- На странице «Брендинг» укажите информацию о брендинге вашего приложения, включая название приложения, логотип, контактную информацию разработчика и соответствующие ссылки. Все внесенные изменения сохраняются как черновик брендинга .
- Нажмите кнопку «Проверить брендинг» , чтобы начать процесс оценки. Автоматическая проверка обычно завершается за несколько минут.
- После завершения проверки проверьте статус. В случае успеха статус изменится на «Готово к публикации» . Если автоматическая проверка не удалась, вы можете увидеть обнаруженные проблемы и либо исправить их, либо запросить ручную проверку.
- Нажмите кнопку «Опубликовать фирменный стиль» , чтобы новый фирменный стиль стал доступен.
Если вашему приложению также требуется проверка доступа к конфиденциальным или ограниченным данным, перейдите в Центр проверки OAuth, чтобы отслеживать статус доступа к данным и предоставить любую дополнительную запрашиваемую информацию, например, демонстрационное видео. Обратите внимание, что для запроса проверки доступа к данным необходимо иметь опубликованный статус брендинга.
- Используйте кнопку «Добавить или удалить области действия» , чтобы объявить все области действия, запрашиваемые вашим приложением. Первоначальный набор областей действия, необходимых для входа через Google, предварительно заполнен в разделе « Неконфиденциальные области действия» . Добавленные области действия классифицируются как неконфиденциальные. sensitive, or restricted.
- Предоставьте до трех ссылок на соответствующую документацию по смежным функциям вашего приложения.
На последующих этапах предоставьте любую дополнительную информацию о вашем приложении, которая будет запрошена.
После публикации вашего фирменного стиля или отправки запроса на доступ к данным команда Google Trust & Safety может связаться с вами по электронной почте, чтобы предоставить необходимую дополнительную информацию или указать шаги, которые вам необходимо выполнить. Проверьте свои адреса электронной почты в разделе «Контактная информация разработчика» и адрес электронной почты службы поддержки на экране согласия OAuth на наличие запросов на дополнительную информацию. Вы также можете просмотреть страницы «Фирменный стиль» или «Центр проверки» вашего проекта, чтобы подтвердить текущий статус проверки, включая информацию о том, приостановлен ли процесс проверки в ожидании вашего ответа.
Исключения из требований к проверке
Если ваше приложение будет использоваться в каком-либо из сценариев, описанных в следующих разделах, вам не нужно отправлять его на проверку.
Личное использование
Один из вариантов использования — если вы являетесь единственным пользователем вашего приложения или если им пользуется лишь небольшое количество пользователей, всех из которых вы лично знаете. В этом случае вы и ваши ограниченные пользователи можете спокойно пройти этап непроверенного приложения и предоставить доступ к нему своим личным учетным записям.
Проекты, используемые на этапах разработки, тестирования или промежуточной среды.
Для соответствия правилам Google OAuth 2.0 мы рекомендуем использовать разные проекты для тестовой и производственной сред. Мы рекомендуем отправлять приложение на проверку только в том случае, если вы хотите сделать его доступным для всех пользователей с учетной записью Google. Поэтому, если ваше приложение находится на стадии разработки, тестирования или промежуточной среды, проверка не требуется.
Если ваше приложение находится на стадии разработки или тестирования, вы можете оставить статус публикации по умолчанию — «Тестирование» . Этот параметр означает, что ваше приложение все еще находится в разработке и доступно только пользователям, которых вы добавите в список тестовых пользователей. Вам необходимо управлять списком учетных записей Google, участвующих в разработке или тестировании вашего приложения.
Только данные, принадлежащие сервису.
Если ваше приложение использует служебный аккаунт для доступа только к собственным данным и не имеет доступа к данным пользователей (связанным с аккаунтом Google), то вам не нужно отправлять запрос на верификацию.
Чтобы понять, что такое сервисные учетные записи, см. раздел «Сервисные учетные записи» в документации Google Cloud. Инструкции по использованию сервисной учетной записи см. в разделе «Использование OAuth 2.0 для приложений, работающих между серверами» .
Только для внутреннего использования
Это означает, что приложение используется только пользователями вашей организации Google Workspace или Cloud Identity. Проект должен принадлежать организации, а экран согласия OAuth должен быть настроен для внутреннего типа пользователя . В этом случае вашему приложению может потребоваться одобрение администратора организации. Для получения дополнительной информации см. раздел «Дополнительные рекомендации для Google Workspace» .
- Узнайте больше об общедоступных и внутренних приложениях .
- Узнайте, как пометить ваше приложение как внутреннее, в разделе часто задаваемых вопросов. Как пометить мое приложение как предназначенное только для внутреннего использования?
Установка в масштабе всего домена
Если вы планируете использовать ваше приложение только для пользователей организации Google Workspace или Cloud Identity и всегда применять установку на уровне домена , то проверка бренда для вашего приложения не потребуется. Однако, если ваше приложение использует ограниченные или конфиденциальные области доступа , проверка приложения потребуется. Это связано с тем, что установка на уровне домена позволяет администратору домена предоставлять сторонним и внутренним приложениям доступ к данным ваших пользователей. Только администраторы организации могут добавить приложение в список разрешенных для использования в своих доменах.
Узнайте, как сделать ваше приложение устанавливаемым на уровне домена, в разделе часто задаваемых вопросов (FAQ). В моем приложении есть пользователи с корпоративными учетными записями из другого домена Google Workspace .