Semua aplikasi yang mengakses Google API harus memverifikasi bahwa aplikasi tersebut mewakili identitas dan intent secara akurat seperti yang ditentukan oleh Kebijakan Data Pengguna Layanan API Google. Untuk melindungi Anda serta pengguna Google dan aplikasi Anda yang dibagikan, layar izin dan aplikasi Anda mungkin memerlukan verifikasi dari Google.
Aplikasi Anda memerlukan verifikasi jika memenuhi semua kriteria berikut:
- Di Google API Console, konfigurasi aplikasi Anda disetel untuk jenis pengguna External. Artinya, aplikasi Anda dapat diakses oleh semua pengguna yang memiliki Akun Google.
- Anda ingin aplikasi menampilkan logo atau nama tampilan di layar izin OAuth.
Jika Anda menyertakan informasi merek terverifikasi, Anda dapat meningkatkan kemungkinan pengguna mengenali merek Anda dan memutuskan untuk memberikan akses ke aplikasi Anda. Informasi merek terverifikasi juga dapat mengurangi pencabutan yang lebih sedikit nantinya ketika pengguna atau administrator Google Workspace meninjau aplikasi dan layanan pihak ketiga yang memiliki akses ke akun tersebut. Proses verifikasi brand layar izin OAuth biasanya memerlukan waktu 2-3 hari kerja setelah Anda mengirim untuk verifikasi.
Jika Anda gagal mengirimkan permohonan untuk verifikasi merek, hal ini dapat mengakibatkan penurunan kepercayaan pengguna terhadap permintaan Anda atas data mereka, yang nantinya dapat mengakibatkan lebih sedikit otorisasi pengguna dan lebih banyak pencabutan.
Layar izin Oauth
Layar persetujuan memberi tahu pengguna siapa yang meminta akses ke data mereka dan jenis data apa yang perlu diakses oleh aplikasi Anda atas nama mereka, seperti yang ditandai dalam Kotak 2 pada gambar 1.
Saat aplikasi Anda menjalani proses verifikasi merek dan menerima persetujuan, kebijakan identitas dan data pengguna aplikasi Anda kemungkinan besar akan dipahami dengan jelas oleh akun yang memberikan izin. Pemahaman yang jelas ini dapat meningkatkan kemungkinan pemegang akun mengizinkan permintaan Anda, dan mempertahankan akses saat mereka meninjau kemungkinan pencabutan di halaman Akun Google mereka. Konten yang Anda konfigurasi di OAuth Consent Screen page di API Console berisi komponen berikut:
- Nama dan logo aplikasi Anda (seperti yang ditampilkan dalam Kotak 1 di gambar 1)
- Email dukungan pengguna, yang muncul setelah nama aplikasi dipilih (Kotak 2 pada gambar 1)
- Tautan ke kebijakan privasi dan persyaratan layanan Anda (Kotak 3 pada gambar 1)
Domain yang diotorisasi
Sebagai bagian dari proses verifikasi merek, Google mewajibkan verifikasi semua domain yang terkait dengan kredensial dan layar izin OAuth aplikasi. Kami meminta Anda untuk memverifikasi komponen domain yang tersedia untuk didaftarkan pada akhiran publik: "domain pribadi teratas". Misalnya, layar izin OAuth yang dikonfigurasi dengan halaman beranda aplikasi https://sub.example.com/product akan meminta pemegang akun untuk memverifikasi kepemilikan domain example.com.
Bagian Domain yang diotorisasi pada editor layar izin OAuth harus berisi domain pribadi teratas yang digunakan dalam URI bagian Domain aplikasi. Domain ini mencakup halaman beranda aplikasi, kebijakan privasi, dan persyaratan layanan. Bagian Domain yang diizinkan juga harus menyertakan URI pengalihan dan/atau asal JavaScript yang diotorisasi dalam jenis klien OAuth "Aplikasi web" Anda.
Verifikasi kepemilikan domain yang Anda beri otorisasi menggunakan Google Search Console. Akun Google dengan izin untuk domain pemilik harus dikaitkan dengan project API Console yang menggunakan domain resmi tersebut. Untuk informasi selengkapnya tentang verifikasi domain di Google Search Console, lihat Memverifikasi kepemilikan situs Anda.
Langkah-langkah persiapan verifikasi
Semua aplikasi yang menggunakan Google API untuk meminta akses ke data harus melakukan langkah-langkah berikut guna menyelesaikan verifikasi merek:
- Konfirmasi bahwa aplikasi Anda tidak termasuk dalam kasus penggunaan apa pun di bagian Pengecualian terhadap persyaratan verifikasi.
- Pastikan aplikasi Anda mematuhi persyaratan branding API atau produk terkait. Misalnya, lihat pedoman branding untuk cakupan Login dengan Google.
- Verifikasi kepemilikan domain resmi project Anda dalam Google Search Console. Gunakan Akun Google yang terkait dengan project API Console Anda sebagai Pemilik atau Editor.
- Pastikan semua informasi branding di layar izin OAuth, seperti nama aplikasi, email dukungan, URI halaman beranda, URI kebijakan privasi, dll., secara akurat mewakili identitas aplikasi.
Persyaratan halaman beranda aplikasi
Pastikan halaman beranda Anda memenuhi persyaratan berikut:
- Halaman beranda Anda harus dapat diakses secara publik, dan tidak hanya dapat diakses oleh pengguna yang login di situs Anda.
- Relevansi halaman beranda Anda dengan aplikasi yang sedang dalam peninjauan harus jelas.
- Link ke listingan aplikasi Anda di Google Play Store atau halaman Facebook-nya tidak dianggap sebagai halaman beranda aplikasi yang valid.
Persyaratan link kebijakan privasi aplikasi
Pastikan kebijakan privasi aplikasi Anda memenuhi persyaratan berikut:
- Kebijakan privasi harus dapat dilihat oleh pengguna, dihosting dalam domain yang sama dengan halaman beranda aplikasi Anda, dan ditautkan ke layar izin OAuth Google API Console. Perhatikan bahwa halaman beranda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional.
- Kebijakan privasi harus mengungkapkan cara yang digunakan aplikasi Anda untuk mengakses, menggunakan, menyimpan, atau membagikan data pengguna Google. Anda harus membatasi penggunaan data pengguna Google oleh Anda untuk praktik yang diungkapkan oleh kebijakan privasi yang Anda publikasikan.
Cara mengirimkan aplikasi Anda untuk verifikasi
Sebuah projectGoogle API Console mengatur semua resource API Console Anda. Project terdiri dari kumpulan Akun Google terkait yang memiliki izin untuk menjalankan operasi project, sekumpulan API yang diaktifkan, serta setelan penagihan, autentikasi, dan pemantauan untuk API tersebut. Misalnya, sebuah project dapat berisi satu atau beberapa klien OAuth, mengonfigurasi API untuk digunakan oleh klien tersebut, dan mengonfigurasi layar izin OAuth yang ditampilkan kepada pengguna sebelum mereka mengizinkan akses ke aplikasi Anda.
Jika salah satu klien OAuth Anda belum siap untuk diproduksi, sebaiknya hapus klien tersebut dari project yang meminta verifikasi. Anda dapat melakukannya di Google API Console.
Untuk mengirimkan verifikasi, ikuti langkah-langkah berikut:
- Pastikan aplikasi Anda mematuhi Persyaratan Layanan Google API, dan Kebijakan Data Pengguna Layanan Google API.
- Pastikan peran pemilik dan editor untuk akun terkait project Anda sudah saat ini, serta email dukungan pengguna dan informasi kontak developer layar izin OAuth, di API ConsoleAnda. Langkah ini memastikan bahwa anggota tim Anda yang tepat diberi tahu jika ada persyaratan baru.
- Buka API Console OAuth Consent Screen page.
- Klik tombol Project selector.
-
Pada dialog Select from yang muncul, pilih project Anda. Jika Anda tidak dapat menemukan project, tetapi mengetahui project ID, Anda dapat membuat URL di browser dalam format berikut:
https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]
Ganti [PROJECT_ID] dengan project ID yang ingin Anda gunakan.
- Pilih tombol Edit Aplikasi.
- Masukkan informasi yang diperlukan pada halaman layar izin OAuth, lalu pilih tombol Save and continue.
- Gunakan tombol Tambahkan atau hapus cakupan untuk mendeklarasikan semua cakupan yang diminta oleh aplikasi Anda. Kumpulan awal cakupan yang diperlukan untuk Login dengan Google sudah terisi di bagian Cakupan non-sensitif. Cakupan yang ditambahkan diklasifikasikan sebagai tidak sensitif, yaitu sensitive, or restricted.
- Berikan hingga tiga link ke dokumentasi yang relevan untuk fitur terkait di aplikasi Anda.
-
Berikan informasi tambahan apa pun yang diminta terkait aplikasi Anda dalam langkah-langkah berikutnya.
- Jika konfigurasi aplikasi yang Anda berikan memerlukan verifikasi, Anda memiliki kesempatan untuk mengirimkan aplikasi tersebut agar diverifikasi. Lengkapi kolom yang wajib diisi, lalu klik Submit untuk memulai proses verifikasi.
Setelah Anda mengirimkan aplikasi, tim Kepercayaan & Keamanan Google akan menindaklanjuti melalui email dengan menyertakan informasi tambahan apa pun yang mereka butuhkan atau langkah-langkah yang harus Anda selesaikan. Periksa alamat email Anda di bagian Informasi kontak developer dan email dukungan layar persetujuan OAuth Anda untuk melihat permintaan informasi tambahan. Anda juga dapat melihat halaman layar izin OAuth project Anda untuk mengonfirmasi status peninjauan project saat ini, termasuk apakah proses peninjauan dijeda selagi kami menunggu respons Anda.
Pengecualian untuk persyaratan verifikasi
Jika aplikasi Anda akan digunakan dalam salah satu skenario yang dijelaskan di bagian berikut, Anda tidak perlu mengirimkannya untuk ditinjau.
Penggunaan pribadi
Salah satu kasus penggunaannya adalah jika Anda adalah satu-satunya pengguna aplikasi atau jika aplikasi tersebut hanya digunakan oleh sedikit pengguna, yang semuanya Anda kenal secara pribadi. Anda dan jumlah pengguna Anda yang terbatas mungkin tidak keberatan untuk beralih melalui layar aplikasi yang belum diverifikasi dan mengizinkan akun pribadi Anda mengakses aplikasi.
Project yang digunakan dalam tingkat Pengembangan, Pengujian, atau Staging
Untuk mematuhi Kebijakan Google OAuth 2.0, sebaiknya Anda memiliki project yang berbeda untuk lingkungan pengujian dan produksi. Sebaiknya Anda hanya mengirimkan aplikasi untuk verifikasi jika ingin aplikasi tersebut tersedia untuk semua pengguna yang memiliki Akun Google. Oleh karena itu, jika aplikasi Anda berada dalam fase pengembangan, pengujian, atau staging, verifikasi tidak diperlukan.
Jika aplikasi berada dalam fase pengembangan atau pengujian, Anda dapat membiarkan Status Publikasi dalam setelan default Testing. Setelan ini berarti bahwa aplikasi Anda masih dalam pengembangan dan hanya tersedia untuk pengguna yang Anda tambahkan ke daftar pengguna pengujian. Anda harus mengelola daftar Akun Google yang terlibat dalam pengembangan atau pengujian aplikasi.
Hanya data yang dimiliki layanan
Jika aplikasi Anda menggunakan akun layanan untuk mengakses datanya sendiri, dan tidak mengakses data pengguna apa pun (ditautkan ke Akun Google), Anda tidak perlu mengirimkan permohonan verifikasi.
Untuk memahami apa itu akun layanan, lihat Akun layanan di dokumentasi Google Cloud. Untuk petunjuk cara menggunakan akun layanan, lihat Menggunakan OAuth 2.0 untuk aplikasi server ke server.
Khusus penggunaan internal
Artinya, aplikasi hanya digunakan oleh orang di organisasi Google Workspace atau Cloud Identity Anda. Project harus dimiliki oleh organisasi, dan layar izin OAuth-nya perlu dikonfigurasi untuk jenis pengguna Internal. Dalam hal ini, aplikasi Anda mungkin memerlukan persetujuan dari administrator organisasi. Untuk mengetahui informasi selengkapnya, lihat Pertimbangan tambahan untuk Google Workspace.
- Pelajari lebih lanjut aplikasi publik dan internal.
- Pelajari cara menandai aplikasi Anda sebagai internal dalam FAQ Bagaimana cara menandai aplikasi saya sebagai khusus internal?
Penginstalan di seluruh domain
Jika Anda berencana agar aplikasi hanya menargetkan pengguna organisasi Google Workspace atau Cloud Identity dan selalu menggunakan penginstalan seluruh domain, aplikasi tidak akan memerlukan verifikasi aplikasi. Hal ini karena penginstalan seluruh domain memungkinkan administrator domain memberikan akses kepada aplikasi internal dan pihak ketiga ke data pengguna Anda. Administrator organisasi adalah satu-satunya akun yang dapat menambahkan aplikasi ke daftar yang diizinkan untuk digunakan dalam domain mereka.
Pelajari cara menjadikan aplikasi Anda sebagai Penginstalan di Seluruh Domain dalam FAQ Aplikasi saya memiliki pengguna dengan akun perusahaan dari Domain Google Workspace lain.