Mematuhi kebijakan OAuth 2.0

Saat sudah siap untuk men-deploy solusi yang diterapkan di luar lingkungan pengembangan Anda ke pengguna aplikasi, Anda mungkin perlu mengambil langkah tambahan untuk mematuhi Kebijakan OAuth 2.0 Google. Dalam panduan ini, kami menjelaskan cara mematuhi masalah developer paling umum yang terjadi saat Anda menyiapkan aplikasi untuk produksi. Cara ini membantu Anda menjangkau sebanyak mungkin audiens dengan error terbatas.

Menggunakan project terpisah untuk pengujian dan produksi

Kebijakan OAuth Google memerlukan project terpisah untuk pengujian dan produksi. Beberapa kebijakan dan persyaratan hanya berlaku pada aplikasi produksi. Anda mungkin perlu membuat dan mengonfigurasi project terpisah yang menyertakan klien OAuth yang sesuai dengan versi produksi aplikasi yang tersedia untuk semua Akun Google.

Klien OAuth Google yang digunakan dalam produksi membantu menyediakan lingkungan pengumpulan dan penyimpanan data yang lebih stabil, dapat diprediksi, dan aman dibandingkan klien OAuth serupa yang menguji atau men-debug aplikasi yang sama. Project produksi Anda dapat dikirimkan untuk diverifikasi, sehingga tunduk pada persyaratan tambahan untuk cakupan API tertentu, yang mungkin mencakup penilaian keamanan pihak ketiga.

  1. Go to the Google API Console. Click Create project, enter a name, and click Create.
  2. Tinjau klien OAuth dalam project ini yang mungkin terkait dengan tingkat pengujian Anda. Jika ada, buat klien OAuth yang serupa untuk klien produksi dalam project produksi Anda.
  3. Aktifkan API apa pun yang digunakan oleh klien Anda.
  4. Tinjau konfigurasi Layar Izin OAuth Anda di project baru.

Klien Google OAuth yang digunakan dalam produksi tidak boleh berisi lingkungan pengujian, URI pengalihan, atau asal JavaScript yang hanya tersedia untuk Anda atau tim pengembangan Anda. Berikut ini beberapa contohnya:

  • Server pengujian dari masing-masing developer
  • Menguji atau pra-rilis versi aplikasi

Mengelola daftar kontak yang relevan untuk project

Google, dan API individual yang Anda aktifkan, mungkin perlu menghubungi Anda tentang perubahan layanan atau konfigurasi baru yang diperlukan project Anda dan kliennya. Tinjau listingan IAM project Anda untuk memastikan orang yang relevan di tim Anda memiliki akses untuk mengedit atau melihat konfigurasi project Anda. Akun ini mungkin juga menerima email tentang perubahan yang diperlukan pada project Anda.

Peran berisi sekumpulan izin yang memungkinkan Anda melakukan tindakan tertentu pada resource project. Editor project memiliki izin untuk tindakan yang mengubah status, seperti kemampuan untuk melakukan perubahan pada layar izin OAuth project Anda. Pemilik project yang memiliki semua izin editor dapat menambahkan atau menghapus akun yang terkait dengan project, atau menghapus project. Pemilik project juga dapat memberikan konteks tentang mengapa informasi penagihan mungkin ditetapkan. Pemilik project dapat menyiapkan informasi penagihan untuk project yang menggunakan API berbayar.

Pemilik dan editor project harus selalu mendapatkan informasi terbaru. Anda dapat menambahkan beberapa akun yang relevan ke project untuk membantu memastikan akses berkelanjutan ke project tersebut dan pemeliharaan terkait. Kami mengirimkan email ke akun tersebut jika ada notifikasi tentang project Anda atau pembaruan layanan kami. Administrator organisasi Google Cloud harus memastikan bahwa kontak yang dapat dijangkau telah dikaitkan dengan setiap project di organisasi mereka. Jika kami tidak memiliki informasi kontak terbaru untuk project Anda, Anda mungkin melewatkan pesan penting yang memerlukan tindakan Anda.

Menampilkan identitas Anda secara akurat

Berikan nama aplikasi yang valid dan, secara opsional, logo untuk ditampilkan kepada pengguna. Informasi merek ini harus mewakili identitas aplikasi Anda secara akurat. Informasi branding aplikasi dikonfigurasi dari OAuth Consent Screen page.

Untuk aplikasi produksi, informasi merek yang ditentukan di layar izin OAuth Anda harus diverifikasi sebelum ditampilkan kepada pengguna. Pengguna mungkin lebih cenderung memberikan akses ke aplikasi Anda setelah menyelesaikan verifikasi mereknya. Informasi aplikasi dasar, yang mencakup nama, halaman beranda, persyaratan layanan, dan kebijakan privasi aplikasi akan ditampilkan kepada pengguna di layar pemberian izin, saat mereka meninjau hibah yang ada, atau kepada administrator Google Workspace yang meninjau penggunaan aplikasi oleh organisasi mereka.

Google dapat mencabut atau menangguhkan akses ke Layanan Google API serta produk dan layanan Google lainnya untuk aplikasi yang memberikan pernyataan tidak benar tentang identitas mereka atau mencoba menipu pengguna.

Hanya minta cakupan yang Anda perlukan

Selama pengembangan aplikasi, Anda mungkin telah menggunakan contoh cakupan yang disediakan oleh API untuk membuat bukti konsep dalam aplikasi Anda untuk mempelajari lebih lanjut fitur dan fungsi API. Cakupan contoh ini sering kali meminta lebih banyak informasi daripada penerapan akhir kebutuhan aplikasi Anda, karena cakupan tersebut memberikan cakupan komprehensif atas semua tindakan yang mungkin dilakukan untuk API tertentu. Misalnya, cakupan contoh mungkin meminta izin baca, tulis, dan hapus sementara aplikasi Anda hanya memerlukan izin baca. Meminta izin yang relevan yang dibatasi pada informasi penting yang diperlukan untuk menerapkan aplikasi Anda.

Tinjau dokumentasi referensi untuk endpoint API yang dipanggil oleh aplikasi Anda, lalu catat cakupan yang diperlukan untuk mengakses data relevan yang dibutuhkan aplikasi Anda. Tinjau panduan otorisasi apa pun yang ditawarkan API dan deskripsikan cakupannya secara lebih mendetail untuk menyertakan penggunaan yang paling umum. Pilih akses data paling minimal yang dibutuhkan aplikasi Anda untuk mendukung fitur terkait.

Untuk informasi selengkapnya tentang persyaratan ini, baca bagian Hanya meminta cakupan yang Anda perlukan pada Kebijakan OAuth 2.0, beserta bagian Meminta izin yang relevan dalam Kebijakan Data Pengguna Layanan Google API.

Kirimkan aplikasi produksi yang menggunakan cakupan sensitif atau yang dibatasi untuk verifikasi

Cakupan tertentu diklasifikasikan sebagai "sensitif" atau "dibatasi" dan tidak dapat digunakan dalam aplikasi produksi tanpa peninjauan. Masukkan semua cakupan yang digunakan aplikasi produksi Anda dalam konfigurasi Layar Izin OAuth. Jika aplikasi produksi Anda menggunakan cakupan sensitif atau yang dibatasi, Anda harus mengirimkan penggunaan cakupan tersebut untuk verifikasi sebelum menyertakan cakupan dalam permintaan otorisasi.

Hanya gunakan domain Anda

Proses verifikasi layar izin OAuth Google memerlukan verifikasi semua domain yang terkait dengan halaman beranda project, kebijakan privasi, persyaratan layanan, URI pengalihan resmi, atau asal JavaScript resmi. Tinjau daftar domain yang digunakan oleh aplikasi Anda, yang diringkas di bagian Domain yang diotorisasi pada editor layar izin OAuth, dan identifikasi domain apa pun yang tidak Anda miliki sehingga tidak dapat memverifikasi. Untuk memverifikasi kepemilikan domain resmi project Anda, gunakan Google Search Console. Gunakan Akun Google yang terkait dengan project API Console Anda sebagai Pemilik atau Editor.

Jika project Anda menggunakan penyedia layanan dengan domain bersama yang sama, sebaiknya aktifkan konfigurasi yang mengizinkan penggunaan domain Anda sendiri. Beberapa penyedia menawarkan untuk memetakan layanan mereka ke subdomain di domain yang sudah Anda miliki.

Menghosting halaman beranda untuk aplikasi produksi

Setiap aplikasi produksi yang menggunakan OAuth 2.0 harus memiliki halaman beranda yang dapat diakses secara publik. Calon pengguna aplikasi Anda dapat mengunjungi halaman beranda untuk mempelajari lebih lanjut fitur dan fungsi yang ditawarkan aplikasi. Pengguna yang sudah ada mungkin meninjau daftar hibah yang ada dan mengunjungi halaman beranda aplikasi Anda sebagai pengingat bahwa mereka terus menggunakan penawaran Anda.

Halaman beranda aplikasi Anda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional. Halaman beranda harus berada di domain yang terverifikasi di bawah kepemilikan Anda.

Gunakan URI pengalihan aman dan asal JavaScript

Klien OAuth 2.0 untuk aplikasi web harus mengamankan data mereka menggunakan URI pengalihan HTTPS dan asal JavaScript, bukan HTTP biasa. Google dapat menolak permintaan OAuth yang tidak berasal dari atau diselesaikan menjadi konteks yang aman.

Pertimbangkan aplikasi dan skrip pihak ketiga mana yang mungkin memiliki akses ke token dan kredensial pengguna lain yang kembali ke halaman Anda. Batasi akses ke data sensitif dengan lokasi URI pengalihan yang dibatasi pada verifikasi dan penyimpanan data token.

Langkah berikutnya

Setelah memastikan bahwa aplikasi Anda mematuhi kebijakan OAuth 2.0 di halaman ini, lihat Mengirim untuk verifikasi merek guna mengetahui detail tentang proses verifikasi.