Verificación de permiso restringido

Algunas APIs de Google (las que aceptan permisos sensibles o restringidos) tienen requisitos para las apps que buscan permiso para acceder a los datos del consumidor. Estos requisitos adicionales para los permisos restringidos exigir que una aplicación demuestre que es un tipo de aplicación permitido y que se envíe a revisiones adicionales, que incluyen una posible evaluación de seguridad.

La aplicabilidad de los permisos restringidos dentro de una API depende mayormente del grado de acceso necesarios para proporcionar una función relevante en tu aplicación: solo lectura, solo escritura, lectura y escritura, etcétera

Cuando usas OAuth 2.0 para obtener permiso de una Cuenta de Google para acceder a estos datos, usas cadenas llamadas alcances para especificar el tipo de datos a los que quieres acceder y la cantidad de acceso que necesitas. Si tu app solicita sensitive o permisos restringidos, debes completar la verificación a menos que el uso de la app califique para una excepción.

Los permisos restringidos tienen una cantidad menor en comparación con los permisos sensibles. La Verificación Las Preguntas frecuentes de verificación de la API de OAuth contienen la lista actual de permisos sensibles y restringidos. Estos permisos proporcionan un acceso amplio a los datos del usuario de Google y requieren que realices un proceso de verificación de permisos antes de solicitarlos desde cualquier Cuenta de Google. Para obtener información sobre este consulta la Política de Datos del Usuario de los Servicios de las APIs de Google y Requisitos adicionales para permisos específicos de las APIs o la página del desarrollador de Google específica del producto. Si almacenas o transmites un permiso restringido en los servidores, debe completar una configuración evaluación.

Comprende los permisos restringidos

Si tu app solicita permisos restringidos y no cumple con los requisitos una excepción, debes cumplir con los Requisitos adicionales para permisos específicos de las APIs de los datos del usuario de los servicios de las APIs de Google Política o requisitos específicos del producto Página del desarrollador de Google, lo que requiere un proceso de revisión más extenso.

Comprende el uso del alcance

• Revisa los permisos que usa o que quieres usar tu app. Para encontrar el uso del permiso existente, examinar el código fuente de tu aplicación para detectar cualquier alcance enviado con solicitudes de autorización.
• Determina que cada alcance solicitado es necesario para las acciones previstas de la función de tu app. y use el privilegio mínimo necesario para ofrecer la función. Por lo general, una API de Google tiene documentación de referencia sobre la página del desarrollador de Google para sus extremos que incluye el alcance necesario para llamar al o propiedades específicas. Para obtener más información sobre los permisos de acceso necesarios para los extremos de la API a los que llama tu app, lee la documentación de referencia de esos extremos. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
• Los datos que recibas de una API de Google solo deben utilizarse en conformidad con las políticas de en la API y en la forma en que representas a tus usuarios en las acciones de tu app Política de Privacidad de Google.
• Consulta la documentación de la API para obtener más información sobre cada alcance, incluido su posible estado sensitive or restricted .
• Declara todos los alcances que usa tu app en las API Console. Pantalla de consentimiento de OAuth la página de permisos de configuración. Los permisos que especifiques se agrupan en categorías sensibles o restringidas para destacar cualquier verificación adicional que se requiera.
• Encuentra el mejor alcance que coincida con los datos que usa tu integración, comprende su uso vuelve a confirmar que todo siga funcionando en un entorno de pruebas y, luego, prepárate para enviar verificación.

Recuerda tener en cuenta el tiempo necesario para completar la verificación del plan de lanzamiento de tu app o cualquier función nueva que requiera un nuevo alcance. Uno de estos requisitos adicionales se produce La aplicación accede o tiene la capacidad de acceder a los datos del usuario de Google desde o a través de un servidor. En en estos casos, el sistema debe someterse a evaluación de seguridad de un asesor externo independiente. aprobado por Google. Por este motivo, el proceso de verificación de permisos restringidos puede puede tardar varias semanas en completarse. Ten en cuenta que todas las aplicaciones deben completar la marca verificación primero, que suele tardar entre 2 y 3 días hábiles si se usa información de marca cambió desde la última verificación aprobada de la pantalla de consentimiento de OAuth.

Tipos de aplicaciones permitidas

Ciertos tipos de aplicaciones pueden acceder a permisos restringidos para cada producto. Puedes encontrar la tipos de aplicaciones en la API Página del desarrollador de Google (por ejemplo, la política de la API de Gmail)

Es tu responsabilidad comprender y determinar el tipo de app. Sin embargo, si no tienes certeza sobre el tipo de aplicación, puedes seleccionar no opciones para la pregunta ¿Qué funciones usarás? cuando envíes la app para verificarla. El equipo de verificación de la API de Google determinará el tipo de aplicación.

Evaluación de seguridad

Todas las apps que solicitan acceso a las cuentas de los usuarios de Google datos restringidos y puede acceder a los datos datos desde o a través de un servidor externo deben pasar por una evaluación de seguridad Asesores de seguridad paneles de Google. Esta evaluación ayuda a mantener a los usuarios a proteger los datos Verificar que todas las apps que acceden a los datos del usuario de Google demuestran la capacidad para administrar datos de forma segura y borrar los datos del usuario si así lo solicita.

Para estandarizar nuestra evaluación de seguridad, usamos la Alianza de defensa de aplicaciones y la framework de evaluación de seguridad para aplicaciones en la nube (CASA).

Como se mencionó anteriormente, para mantener el acceso a cualquier permiso restringido verificado, las apps deben se vuelve a verificar el cumplimiento y completa una evaluación de seguridad al menos cada 12 meses después de fecha de aprobación de la Carta de Evaluación (LOA) del evaluador. Si tu app agrega un nuevo alcance restringido, tu quizás deba volver a evaluarse la app para cubrir el alcance adicional si no se incluyó en un la evaluación de seguridad de la información.

El equipo de revisión de Google te enviará un correo electrónico para renovar la certificación de tu app. Para asegurarte de que el los miembros correctos de su equipo reciben notificaciones de esta aplicación anual, asocie Google Cuentas con tu API Console proyecto como propietario o Editor También es útil mantener actualizados los correos electrónicos de contacto de desarrolladores y de asistencia al usuario que son especificadas en la API API Console de OAuth, Consent Screen page

Pasos para prepararse para la verificación

Todas las apps que usan las APIs de Google para solicitar acceso a los datos deben realizar los siguientes pasos: Completa la verificación de marca:

1. Confirma que tu app no se incluye en ninguno de los casos de uso de la Excepciones a los requisitos de verificación.
2. Asegúrate de que tu app cumpla con los requisitos de desarrollo de la marca de las APIs asociadas. producto. Por ejemplo, consulta los lineamientos de desarrollo de la marca. para los permisos de Acceso con Google.
3. Verifica la propiedad de la propiedad de tu proyecto dominios autorizados Google Search Console. Usa una Cuenta de Google Cuenta asociada a tu API Console proyecto como un Propietario o editor.
4. Asegúrate de que toda la información de desarrollo de la marca en la pantalla de consentimiento de OAuth, como el nombre de la app, la compatibilidad el correo electrónico, el URI de la página principal, el URI de la política de privacidad, etc., representan con precisión la identidad de la app.

Requisitos de la página principal de la aplicación

Asegúrate de que tu página principal cumpla con los siguientes requisitos:

• La página principal debe ser de acceso público, y no solo las personas que accedieron a su sitio deben poder acceder a ella. usuarios.
• La relevancia de la página principal con respecto a la app que está en proceso de revisión debe ser clara.
• No se consideran los vínculos a la ficha de tu app en Google Play Store ni su página de Facebook páginas de inicio válidas de la aplicación.

Requisitos del vínculo a la Política de Privacidad de la aplicación

Asegúrate de que la política de privacidad de tu app cumpla con los siguientes requisitos:

• La política de privacidad debe estar visible para los usuarios y estar alojada en el mismo dominio que tu página principal de la aplicación y se incluye un vínculo a ella en la pantalla de consentimiento de OAuth de la Google API ConsoleTen en cuenta que la página principal debe incluir descripción de su funcionalidad, así como los vínculos a la política de privacidad y condiciones del servicio opcionales.
• La política de privacidad debe revelar la manera en que tu aplicación accede, usa, almacena o comparte datos de los usuarios de Google. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. Debes limitar tu uso de los datos del usuario de Google a las prácticas que se publicaron de Google.
• Review example cases of privacy policies that don't meet the Limited Use requirements.

Cómo enviar tu app para verificarla

Un Google API Console proyecto organiza todos tus API Console . Un proyecto consta de un conjunto Cuentas de Google con permiso para realizar operaciones del proyecto, un conjunto de APIs habilitadas y configuración de facturación, autenticación y supervisión para esas APIs. Por ejemplo, un proyecto puede contener uno o más clientes de OAuth, configurar APIs para que las usen esos clientes y configurar una pantalla de consentimiento de OAuth que se muestra a los usuarios antes de que autoricen el acceso a tu app.

Si alguno de tus clientes de OAuth no está listo para producción, te sugerimos que lo borres de el proyecto que solicita la verificación. Puedes hacerlo en Google API Console.

Si deseas enviar una solicitud de verificación, sigue estos pasos:

1. Asegúrate de que tu app cumpla con las Condiciones del Servicio de las APIs de Google y las Política de Datos del Usuario de los Servicios de las APIs de Google.
2. Mantén actualizados los roles de propietario y editor de las cuentas asociadas de tu proyecto, así como el correo electrónico de asistencia al usuario y la información de contacto del desarrollador de la pantalla de consentimiento de OAuth en tu API Console. Esto garantiza que los miembros correctos de tu equipo de seguridad reciben notificaciones de nuevos requisitos.
3. Ve a la API Console OAuth Consent Screen page.
4. Haz clic en el botón del selector de proyectos.

5. En el diálogo Select from que aparece, selecciona tu proyecto. Si no encuentras tu pero conoces el ID del proyecto, puedes crear una URL en el navegador en la siguiente formato:

   https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

   Reemplaza [PROJECT_ID] por el ID del proyecto que deseas usar.

6. Selecciona el botón Editar aplicación.
7. Ingresa la información necesaria en la página de la pantalla de consentimiento de OAuth y, luego, selecciona Guardar. and continue.
8. Usa el botón Add or remove scope para declarar todos los alcances que solicita tu app. Los el conjunto inicial de alcances necesarios para el Acceso con Google se precompletan en la Sección Permisos no sensibles. Los permisos agregados se clasifican como no sensibles, sensitive, or restricted.
9. Proporciona hasta tres vínculos a cualquier documentación relevante para las funciones relacionadas de tu aplicación.

10. Proporciona cualquier información adicional que se solicite sobre tu app en los pasos posteriores.

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
       5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
11. Si la configuración de la app que proporcionas requiere verificación, tienes la oportunidad de enviarla para que se verifique. Completa los campos obligatorios y haz clic en Enviar para iniciar proceso de verificación de identidad.

Después de que envíes tu app, el equipo de Confianza y Seguridad de Google te enviará un correo electrónico con la información adicional que necesite o los pasos que debes completar. Revisa tus direcciones de correo electrónico en la sección Información de contacto del desarrollador y el correo electrónico de asistencia de la pantalla de consentimiento de OAuth para ver si hay solicitudes de información adicional. También puedes ver el consentimiento de OAuth de tu proyecto página de pantalla para confirmar el estado de revisión actual de tu proyecto, incluido si el proceso de revisión se pausará mientras esperamos tu respuesta.

Excepciones a los requisitos de verificación

Si tu app se usará en cualquiera de las situaciones descritas en las siguientes secciones, puedes no necesitan enviarlo para su revisión.

Uso personal

Un caso de uso es si eres el único usuario de la app o si la usan pocos usuarios de las cuales todos sean conocidos personalmente. Es posible que tú y tu cantidad limitada de usuarios se sientan cómodos con el avance por el app sin verificar pantalla y otorgar a tus cuentas personales acceso a tu app.

Proyectos utilizados en desarrollo, pruebas o etapa de pruebas niveles

Para cumplir con las políticas de OAuth 2.0 de Google, te recomendamos que tengas diferentes proyectos para los entornos de prueba y producción. Te recomendamos que solo envíes la app para verificarla. si quieres que tu app esté disponible para cualquier usuario con una Cuenta de Google. Por lo tanto, si tu app está en las fases de desarrollo, pruebas o etapa de pruebas, no es necesaria la verificación.

Si tu app está en las fases de desarrollo o pruebas, puedes dejar el Estado de publicación en la configuración predeterminada de Pruebas. Este parámetro de configuración significa que tu app aún está en desarrollo y solo está disponibles para los usuarios que agregues a la lista de usuarios de prueba. Debes administrar la lista de Cuentas de Google que participen en el desarrollo o las pruebas de tu app.

Solo datos que son propiedad del servicio

Si tu app usa una cuenta de servicio para acceder solo a sus propios datos y no accede a ningún usuario (vinculados a una Cuenta de Google), no será necesario que los envíes para la verificación.

Para comprender qué son las cuentas de servicio, consulta Cuentas de servicio en en la documentación de Google Cloud. Para obtener instrucciones sobre cómo usar una cuenta de servicio, consulta Uso de OAuth 2.0 de servidor a servidor aplicaciones.

Solo para uso interno

Esto significa que solo los usuarios de tu cuenta de Google Workspace o Cloud Identity usarán la app. organización. La organización debe ser propietaria del proyecto, y su pantalla de consentimiento de OAuth se debe configurar para un tipo de usuario interno. En este caso, es posible que tu app necesite la aprobación de un administrador de la organización. Para obtener más información, consulta Consideraciones adicionales para Google Workspace.

• Obtén más información sobre las aplicaciones internas y públicas.
• Obtén información para marcar tu app como interna en las Preguntas frecuentes ¿Cómo puedo marcar mi app como solo para uso interno?

Instalación en todo el dominio

Si planeas que la app se segmente solo para los usuarios de una cuenta de Google Workspace o Cloud Identity, haz lo siguiente: organización y usar siempre en todo el dominio instalación, tu app no requerirá la verificación de apps. Esto se debe a que una configuración de dominio permite al administrador de dominio otorgar acceso a las aplicaciones internas y de terceros tus usuarios de datos no estructurados. Los administradores de la organización son las únicas cuentas que pueden agregar la app a una lista de entidades permitidas para usarla en sus dominios.

Consulta las Preguntas frecuentes para obtener información sobre cómo instalar tu app para todo el dominio Mi aplicación tiene usuarios con empresariales de otro dominio de Google Workspace.