Mematuhi kebijakan OAuth 2.0

Jika Anda sudah siap untuk men-deploy solusi yang diimplementasikan di luar lingkungan pengembangan kepada pengguna aplikasi, Anda mungkin perlu mengambil langkah tambahan untuk mematuhi Kebijakan OAuth 2.0 Google. Dalam panduan ini, kami menjelaskan cara untuk mematuhi masalah developer paling umum yang dihadapi saat menyiapkan aplikasi untuk produksi. Hal ini membantu Anda menjangkau sebanyak mungkin audiens dengan jumlah error terbatas.

Menggunakan project terpisah untuk pengujian dan produksi

Kebijakan OAuth Google memerlukan project terpisah untuk pengujian dan produksi. Beberapa kebijakan dan persyaratan hanya berlaku untuk aplikasi produksi. Anda mungkin perlu membuat dan mengonfigurasi project terpisah yang menyertakan klien OAuth yang sesuai dengan versi produksi aplikasi yang tersedia untuk semua Akun Google.

Klien Google OAuth yang digunakan dalam produksi membantu menyediakan lingkungan pengumpulan dan penyimpanan data yang lebih stabil, dapat diprediksi, dan aman dibandingkan klien OAuth serupa yang menguji atau men-debug aplikasi yang sama. Project produksi Anda dapat dikirim untuk diverifikasi, sehingga tunduk pada persyaratan tambahan untuk cakupan API tertentu, yang mungkin mencakup penilaian keamanan pihak ketiga.

  1. Go to the Google API Console. Click Create project, enter a name, and click Create.
  2. Tinjau klien OAuth dalam project ini yang mungkin terkait dengan tingkat pengujian Anda. Jika berlaku, buat klien OAuth serupa untuk klien produksi di dalam project produksi Anda.
  3. Aktifkan API yang sedang digunakan oleh klien Anda.
  4. Tinjau konfigurasi Layar Izin OAuth Anda di project baru.

Klien Google OAuth yang digunakan dalam produksi tidak boleh berisi lingkungan pengujian, URI pengalihan, atau asal JavaScript yang hanya tersedia untuk Anda atau tim pengembangan Anda. Berikut ini beberapa contohnya:

  • Server pengujian masing-masing pengembang
  • Versi uji coba atau pra-rilis aplikasi Anda

Menyimpan daftar kontak yang relevan untuk proyek

Google, dan setiap API yang Anda aktifkan, mungkin perlu menghubungi Anda terkait perubahan pada layanannya atau konfigurasi baru yang diperlukan dari project Anda dan kliennya. Tinjau listingan IAM project Anda untuk memastikan orang yang relevan di tim Anda memiliki akses untuk mengedit atau melihat konfigurasi project Anda. Akun ini mungkin juga akan menerima email tentang perubahan yang diperlukan pada project Anda.

Peran berisi kumpulan izin yang memungkinkan Anda melakukan tindakan tertentu pada resource project. Editor project memiliki izin untuk tindakan yang mengubah status, seperti kemampuan untuk membuat perubahan pada layar izin OAuth project Anda. Pemilik project yang memiliki semua izin editor dapat menambahkan atau menghapus akun yang terkait dengan project, atau menghapus project. Pemilik project juga dapat memberikan konteks mengapa informasi penagihan perlu ditetapkan. Pemilik project dapat menyiapkan informasi penagihan untuk project yang menggunakan API berbayar.

Pemilik dan editor project harus selalu {i>up-to-date<i}. Anda dapat menambahkan beberapa akun yang relevan ke project untuk membantu memastikan akses berkelanjutan ke project dan pemeliharaan terkait. Kami mengirimkan email ke akun tersebut jika ada notifikasi tentang project Anda atau pembaruan pada layanan kami. Administrator organisasi Google Cloud harus memastikan bahwa kontak yang dapat dijangkau dikaitkan dengan setiap project di organisasi mereka. Jika kami tidak memiliki informasi kontak terbaru untuk project Anda, Anda mungkin akan kehilangan pesan penting yang memerlukan tindakan Anda.

Menunjukkan identitas Anda secara akurat

Berikan nama aplikasi yang valid dan, secara opsional, logo untuk ditampilkan kepada pengguna. Informasi merek ini harus merepresentasikan identitas aplikasi Anda secara akurat. Informasi branding aplikasi dikonfigurasi dari OAuth Consent Screen page.

Untuk aplikasi produksi, informasi merek yang ditentukan di layar izin OAuth Anda harus diverifikasi sebelum ditampilkan kepada pengguna. Pengguna mungkin lebih cenderung memberikan akses ke aplikasi Anda setelah aplikasi menyelesaikan verifikasi mereknya. Informasi permohonan dasar, yang mencakup nama aplikasi, halaman beranda, persyaratan layanan, dan kebijakan privasi, ditampilkan kepada pengguna di layar pemberian, saat mereka meninjau hibah yang ada, atau kepada administrator Google Workspace yang meninjau penggunaan aplikasi oleh organisasi mereka.

Google dapat mencabut atau menangguhkan akses ke Layanan Google API serta produk dan layanan Google lainnya untuk aplikasi yang memberikan pernyataan tidak benar tentang identitasnya atau berupaya menipu pengguna.

Hanya minta cakupan yang diperlukan

Selama pengembangan aplikasi, Anda mungkin telah menggunakan contoh cakupan yang disediakan oleh API untuk membuat bukti konsep dalam aplikasi guna mempelajari fitur dan fungsi API lebih lanjut. Contoh cakupan ini sering kali meminta lebih banyak informasi daripada implementasi akhir kebutuhan aplikasi Anda, karena cakupan contoh tersebut mencakup semua kemungkinan tindakan untuk API tertentu secara komprehensif. Misalnya, contoh cakupan mungkin meminta izin baca, tulis, dan hapus, sementara aplikasi Anda hanya memerlukan izin baca. Minta izin yang relevan yang terbatas pada informasi penting yang diperlukan untuk mengimplementasikan aplikasi Anda.

Tinjau dokumentasi referensi untuk endpoint API yang dipanggil aplikasi Anda dan catat cakupan yang diperlukan untuk mengakses data relevan yang dibutuhkan aplikasi Anda. Tinjau panduan otorisasi yang ditawarkan API dan jelaskan cakupannya secara lebih mendetail untuk menyertakan penggunaan yang paling umum. Pilih akses data paling minimal yang diperlukan aplikasi Anda untuk mendukung fitur terkait.

Untuk informasi selengkapnya tentang persyaratan ini, baca bagian Hanya meminta cakupan yang Anda perlukan dalam Kebijakan OAuth 2.0, serta bagian Meminta izin yang relevan dalam Kebijakan Data Pengguna Layanan Google API.

Mengirimkan aplikasi produksi yang menggunakan cakupan sensitif atau yang dibatasi untuk verifikasi

Cakupan tertentu diklasifikasikan sebagai "sensitif" atau "dibatasi" dan tidak dapat digunakan dalam aplikasi produksi tanpa peninjauan. Masukkan semua cakupan yang digunakan aplikasi produksi Anda dalam konfigurasi Layar Izin OAuth. Jika aplikasi produksi Anda menggunakan cakupan yang sensitif atau dibatasi, Anda harus mengirimkan penggunaan cakupan tersebut untuk verifikasi sebelum menyertakan cakupan tersebut dalam permintaan otorisasi.

Hanya gunakan domain yang Anda miliki

Proses verifikasi layar izin OAuth Google memerlukan verifikasi semua domain yang terkait dengan halaman beranda, kebijakan privasi, persyaratan layanan, URI pengalihan yang diberi otorisasi, atau asal JavaScript yang diizinkan untuk project Anda. Tinjau daftar domain yang digunakan oleh aplikasi Anda, yang dirangkum di bagian Domain resmi pada editor layar izin OAuth, dan identifikasi setiap domain yang bukan milik Anda dan tidak akan dapat diverifikasi. Untuk memverifikasi kepemilikan domain resmi project Anda, gunakan Google Search Console. Gunakan Akun Google yang terkait dengan project API Console Anda sebagai Pemilik atau Editor.

Jika project Anda menggunakan penyedia layanan dengan domain bersama yang sama, sebaiknya aktifkan konfigurasi yang memungkinkan penggunaan domain Anda sendiri. Beberapa penyedia menawarkan untuk memetakan layanan mereka ke subdomain dari domain yang sudah Anda miliki.

Menghosting halaman beranda untuk aplikasi produksi

Setiap aplikasi produksi yang menggunakan OAuth 2.0 harus memiliki halaman beranda yang dapat diakses secara publik. Calon pengguna aplikasi dapat mengunjungi halaman beranda untuk mempelajari lebih lanjut fitur dan fungsi yang ditawarkan aplikasi. Pengguna lama dapat meninjau daftar hibah yang ada dan mengunjungi halaman beranda aplikasi Anda sebagai pengingat bahwa mereka akan terus menggunakan penawaran Anda.

Halaman beranda aplikasi Anda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional. Halaman beranda harus ada di domain terverifikasi di bawah kepemilikan Anda.

Gunakan URI pengalihan dan asal JavaScript yang aman

Klien OAuth 2.0 untuk aplikasi web harus mengamankan data mereka menggunakan URI pengalihan HTTPS dan asal JavaScript, bukan HTTP biasa. Google dapat menolak permintaan OAuth yang tidak berasal dari atau diselesaikan untuk konteks yang aman.

Pertimbangkan aplikasi dan skrip pihak ketiga mana yang mungkin memiliki akses ke token dan kredensial pengguna lainnya yang kembali ke halaman Anda. Batasi akses ke data sensitif dengan lokasi URI pengalihan yang dibatasi pada verifikasi dan penyimpanan data token.

Langkah berikutnya

Setelah memastikan bahwa aplikasi Anda mematuhi kebijakan OAuth 2.0 di halaman ini, lihat Mengirim untuk verifikasi merek untuk detail tentang proses verifikasi.