Semua aplikasi yang mengakses Google API harus memverifikasi bahwa aplikasi tersebut mewakili identitas dan intent secara akurat seperti yang ditentukan oleh Kebijakan Data Pengguna Layanan API Google. Untuk melindungi Anda dan pengguna bersama Google serta aplikasi Anda, layar izin dan aplikasi Anda mungkin memerlukan verifikasi oleh Google.
Aplikasi Anda memerlukan verifikasi jika memenuhi semua kriteria berikut:
- Di Google API Console, konfigurasi aplikasi Anda disetel untuk jenis pengguna External. Artinya, aplikasi Anda dapat diakses oleh semua pengguna yang memiliki Akun Google.
- Anda ingin aplikasi menampilkan logo atau nama tampilan di layar izin OAuth.
Jika Anda menyertakan informasi merek yang terverifikasi, Anda dapat meningkatkan kemungkinan bahwa pengguna mengenali merek Anda dan memutuskan untuk memberikan akses ke aplikasi Anda. Informasi merek yang terverifikasi juga dapat menyebabkan pencabutan lebih sedikit nanti ketika pengguna atau administrator Google Workspace meninjau aplikasi dan layanan pihak ketiga yang memiliki akses ke akun. Proses verifikasi merek layar izin OAuth biasanya memerlukan waktu 2-3 hari kerja setelah Anda mengajukan permohonan verifikasi.
Jika Anda gagal mengirimkan permohonan verifikasi merek, hal ini dapat menyebabkan penurunan kepercayaan pengguna terhadap permintaan Anda atas data mereka, yang dapat menyebabkan lebih sedikit otorisasi pengguna dan pencabutan lainnya nanti.
Layar izin Oauth
Layar izin memberi tahu pengguna yang meminta akses ke data mereka dan jenis data yang perlu diakses oleh aplikasi mereka, seperti yang ditandai dalam Kotak 2 pada Gambar 1.
Saat aplikasi Anda melalui proses verifikasi merek dan menerima persetujuan, identitas aplikasi dan kebijakan data pengguna Anda lebih mungkin untuk dipahami dengan jelas oleh akun yang memberikan izin. Pemahaman yang jelas ini dapat meningkatkan kemungkinan pemegang akun mengizinkan permintaan Anda dan mengelola akses saat mereka meninjau kemungkinan pencabutan di halaman Akun Google mereka. Konten yang Anda konfigurasikan pada OAuth Consent Screen page di API Console akan mengisi komponen berikut:
- Nama dan logo aplikasi Anda (seperti yang ditampilkan pada Kotak 1 pada gambar 1)
- Email dukungan pengguna, yang muncul setelah nama aplikasi Anda dipilih (Kotak 2 pada gambar 1)
- Link ke kebijakan privasi dan persyaratan layanan Anda (Kotak 3 dari gambar 1)
Domain yang diotorisasi
Sebagai bagian dari proses verifikasi merek, Google mewajibkan verifikasi semua domain yang terkait dengan layar dan kredensial izin OAuth aplikasi. Kami meminta Anda memverifikasi komponen domain yang tersedia untuk pendaftaran pada akhiran publik: "domain pribadi teratas." Misalnya, layar izin OAuth yang dikonfigurasi dengan halaman beranda aplikasi https://sub.example.com/product meminta pemegang akun untuk memverifikasi kepemilikan domain example.com.
Bagian Domain yang diotorisasi dalam editor layar izin OAuth harus berisi domain pribadi teratas yang digunakan di URI bagian Domain aplikasi. Domain ini mencakup halaman beranda aplikasi, kebijakan privasi, dan persyaratan layanan. Bagian Domain yang diotorisasi juga perlu menyertakan URI pengalihan dan/atau asal JavaScript yang diizinkan di jenis klien OAuth " Web" Anda.
Verifikasi kepemilikan domain yang diotorisasi menggunakan Google Search Console. Akun Google dengan izin untuk domain pemilik harus dikaitkan dengan API Console project yang menggunakan domain yang diotorisasi tersebut. Untuk informasi selengkapnya tentang verifikasi domain di Google Search Console, lihat Memverifikasi kepemilikan situs.
Langkah-langkah penyiapan verifikasi
Semua aplikasi yang menggunakan Google API untuk meminta akses ke data harus melakukan langkah-langkah berikut untuk menyelesaikan verifikasi merek:
- Konfirmasikan bahwa aplikasi Anda tidak termasuk dalam kasus penggunaan apa pun di bagian Pengecualian terhadap persyaratan verifikasi.
- Pastikan aplikasi Anda mematuhi persyaratan branding API atau produk terkait. Misalnya, lihat pedoman branding untuk cakupan Login dengan Google.
- Verifikasi kepemilikan domain resmi project Anda dalam Google Search Console. Gunakan Akun Google yang terkait dengan project API Console Anda sebagai Pemilik atau Editor.
- Pastikan semua informasi branding di layar izin OAuth, seperti nama aplikasi, email dukungan, URI halaman beranda, URI kebijakan privasi, dll., mewakili identitas aplikasi secara akurat.
Persyaratan halaman beranda aplikasi
Pastikan halaman beranda Anda memenuhi persyaratan berikut:
- Halaman beranda Anda harus dapat diakses secara publik, dan tidak hanya dapat diakses oleh pengguna yang login ke situs Anda.
- Relevansi halaman beranda Anda dengan aplikasi yang sedang ditinjau harus jelas.
- Link ke listingan aplikasi Anda di Google Play Store atau halaman Facebook-nya tidak dianggap sebagai halaman beranda aplikasi yang valid.
Persyaratan link kebijakan privasi aplikasi
Pastikan kebijakan privasi aplikasi Anda memenuhi persyaratan berikut:
- Kebijakan privasi harus dapat dilihat oleh pengguna, yang dihosting dalam domain yang sama dengan halaman beranda aplikasi Anda, dan ditautkan ke layar izin OAuth Google API Console. Perlu diperhatikan bahwa halaman beranda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional.
- Kebijakan privasi harus mengungkapkan cara aplikasi Anda mengakses, menggunakan, menyimpan, atau membagikan data pengguna Google. Anda harus membatasi penggunaan data pengguna Google pada praktik yang diungkapkan oleh kebijakan privasi yang Anda publikasikan.
Cara mengirimkan aplikasi Anda untuk diverifikasi
ProjectGoogle API Console mengatur semua resource API Console . Project terdiri dari sekumpulan Akun Google terkait yang memiliki izin untuk melakukan operasi project, serangkaian API yang diaktifkan, serta setelan penagihan, autentikasi, dan pemantauan untuk API tersebut. Misalnya, project dapat berisi satu atau beberapa klien OAuth, mengonfigurasi API untuk digunakan oleh klien tersebut, dan mengonfigurasi layar izin OAuth yang ditampilkan kepada pengguna sebelum mereka mengizinkan akses ke aplikasi Anda.
Jika salah satu klien OAuth Anda belum siap untuk produksi, sebaiknya Anda menghapusnya dari project yang meminta verifikasi. Anda dapat melakukannya di Google API Console.
Untuk mendapatkan verifikasi, ikuti langkah-langkah berikut:
- Pastikan aplikasi Anda mematuhi Persyaratan Layanan Google API, dan Kebijakan Data Pengguna Layanan Google API.
- Pastikan peran pemilik dan editor dari akun terkait project Anda saat ini, serta informasi kontak developer dan email dukungan pengguna OAuth, di API Console. Hal ini memastikan bahwa anggota tim yang tepat akan diberi tahu jika ada persyaratan baru.
- Buka API Console OAuth Consent Screen page.
- Klik tombol Pemilih project.
-
Pada dialog Select from yang muncul, pilih project Anda. Jika tidak dapat menemukan project, tetapi mengetahui project ID Anda, Anda dapat membuat URL di browser dalam format berikut:
https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]
Ganti [PROJECT_ID] dengan project ID yang ingin Anda gunakan.
- Pilih tombol Edit Aplikasi.
- Masukkan informasi yang diperlukan pada halaman layar izin OAuth, lalu pilih tombol Simpan dan lanjutkan.
- Gunakan tombol Tambahkan atau hapus cakupan untuk mendeklarasikan semua cakupan yang diminta oleh aplikasi Anda. Kumpulan awal cakupan yang diperlukan untuk Login dengan Google telah diisi sebelumnya di bagian Cakupan tidak sensitif. Cakupan yang ditambahkan diklasifikasikan sebagai tidak sensitif, sensitive, or restricted.
- Sediakan hingga tiga link ke dokumentasi yang relevan untuk fitur terkait di aplikasi Anda.
-
Berikan informasi tambahan yang diminta tentang aplikasi Anda pada langkah berikutnya.
- Jika konfigurasi aplikasi yang diberikan memerlukan verifikasi, Anda memiliki kesempatan untuk mengirimkan aplikasi tersebut untuk diverifikasi. Isi kolom yang wajib diisi, lalu klik Submit untuk memulai proses verifikasi.
Setelah Anda mengirimkan aplikasi, tim Kepercayaan & Google menindaklanjuti dengan mengirimkan email berisi informasi tambahan yang diperlukan atau langkah-langkah yang harus Anda selesaikan. Periksa alamat email Anda di bagian Informasi kontak developer dan email dukungan di layar izin OAuth Anda untuk meminta informasi tambahan. Anda juga dapat melihat halaman layar izin OAuth project Anda untuk mengonfirmasi status peninjauan project Anda saat ini, termasuk apakah proses peninjauan dijeda selagi kami menunggu respons Anda.
Pengecualian terhadap persyaratan verifikasi
Jika aplikasi Anda akan digunakan dalam salah satu skenario yang dijelaskan di bagian berikut, Anda tidak perlu mengirimkannya untuk ditinjau.
Penggunaan pribadi
Salah satu kasus penggunaannya adalah jika Anda adalah satu-satunya pengguna aplikasi atau jika aplikasi Anda hanya digunakan oleh beberapa pengguna saja, yang semuanya dikenal secara pribadi oleh Anda. Anda dan jumlah pengguna yang terbatas mungkin merasa nyaman untuk maju melalui layar aplikasi yang belum diverifikasi dan memberi akun pribadi Anda akses ke aplikasi Anda.
Project yang digunakan dalam tingkat Pengembangan, Pengujian, atau Staging
Untuk mematuhi Google OAuth 2.0 Policy, sebaiknya Anda memiliki project yang berbeda untuk lingkungan pengujian dan produksi. Sebaiknya Anda hanya mengirimkan aplikasi untuk verifikasi jika ingin menyediakan aplikasi kepada pengguna yang memiliki Akun Google. Oleh karena itu, jika aplikasi Anda berada dalam fase pengembangan, pengujian, atau staging, verifikasi tidak diperlukan.
Jika aplikasi sedang dalam tahap pengembangan atau pengujian, Anda dapat membiarkan Status Publikasi di setelan default Pengujian. Setelan ini berarti bahwa aplikasi Anda masih dalam pengembangan dan hanya tersedia untuk pengguna yang Anda tambahkan ke daftar pengguna pengujian. Anda harus mengelola daftar Akun Google yang terlibat dalam pengembangan atau pengujian aplikasi Anda.
Hanya data milik layanan
Jika aplikasi Anda menggunakan akun layanan hanya untuk mengakses datanya sendiri, dan aplikasi tidak mengakses data pengguna apa pun (ditautkan ke Akun Google), Anda tidak perlu mengirim untuk verifikasi.
Untuk memahami apa yang dimaksud dengan akun layanan, lihat Akun layanan dalam dokumentasi Google Cloud. Untuk petunjuk tentang cara menggunakan akun layanan, lihat Menggunakan OAuth 2.0 untuk aplikasi server ke server.
Khusus penggunaan internal
Artinya, aplikasi hanya digunakan oleh orang dalam organisasi Google Workspace atau Cloud Identity. Project tersebut harus dimiliki oleh organisasi, dan layar izin OAuth-nya perlu dikonfigurasi untuk jenis pengguna Internal. Dalam hal ini, aplikasi Anda mungkin memerlukan persetujuan dari administrator organisasi. Untuk mengetahui informasi selengkapnya, lihat Pertimbangan tambahan untuk Google Workspace.
- Pelajari aplikasi publik dan internal lebih lanjut.
- Pelajari cara menandai aplikasi Anda sebagai internal di FAQ Bagaimana cara menandai aplikasi saya sebagai khusus internal?
Penginstalan di seluruh domain
Jika Anda merencanakan aplikasi untuk hanya menargetkan pengguna organisasi Google Workspace atau Cloud Identity dan selalu menggunakan penginstalan seluruh domain, aplikasi Anda tidak akan memerlukan verifikasi aplikasi. Hal ini karena penginstalan di seluruh domain memungkinkan administrator domain memberikan akses aplikasi internal dan pihak ketiga ke data pengguna Anda. Administrator organisasi adalah satu-satunya akun yang dapat menambahkan aplikasi ke daftar yang diizinkan untuk digunakan dalam domain mereka.
Pelajari cara menjadikan aplikasi Anda sebagai Instal di Seluruh Domain di FAQ Aplikasi saya memiliki pengguna dengan akun perusahaan dari Domain Google Workspace lainnya.