Określone interfejsy API Google (te, które akceptują Wrażliwa lub zakresy z ograniczeniami ) mają wymagania dotyczące aplikacji żądających uprawnień dostępu do danych konsumentów. Te dodatkowe wymagania dotyczące zakresów z ograniczeniami wymagać, aby aplikacja potwierdzała, że dany typ aplikacji jest dozwolony, oraz musi ją przesłać do dodatkowe weryfikacje, które mogą obejmować ocenę bezpieczeństwa.
Możliwość zastosowania zakresów z ograniczeniami w interfejsie API zależy głównie od poziomu dostępu wymagane do zapewnienia odpowiedniej funkcji aplikacji: dostępu tylko do odczytu, tylko do zapisu, odczytu i zapisu, ip.
Gdy używasz protokołu OAuth 2.0, aby uzyskać od konta Google uprawnienia dostępu do tych danych, używasz ciągi nazywane zakresami określające rodzaj danych, do których chcesz uzyskać dostęp, oraz zakres dostępu których potrzebujesz. Jeśli Twoja aplikacja wymaga zakresów wrażliwych lub zakresów zastrzeżonych, musisz przejść proces weryfikacji, chyba że jej użycie kwalifikuje się do wyjątku.
Zakresy z ograniczeniami są mniejsze w porównaniu z zakresami wrażliwymi. Weryfikacja Najczęstsze pytania na temat OAuth API Weryfikacja zawiera aktualną listę zakresów wrażliwych i zakresów z ograniczeniami. Te zakresy zapewniają szeroki dostęp do danych użytkowników Google i wymagają przejścia procesu weryfikacji zakresu przed zgłoszeniem zakresów z dowolnego konta Google. Informacje na ten temat wymagania znajdziesz w zasadach dotyczących danych użytkownika w usługach interfejsu API Google. oraz Dodatkowe wymagania dotyczące określonych zakresów interfejsu API lub na stronie Google Developers dla konkretnej usługi. Przechowywanie lub przesyłanie zakresu ograniczonego danych na serwerach, należy zabezpieczyć Google Analytics.
Informacje o zakresach z ograniczeniami
Jeśli Twoja aplikacja prosi o zakresy z ograniczeniami i nie kwalifikuje się do wyjątek, musisz spełnić warunki Dodatkowe wymagania dotyczące określonych zakresów interfejsów API danych użytkownika usług interfejsu API Google zasady lub wymagania dotyczące konkretnego produktu na stronie Strona dewelopera w Google Play co wymaga bardziej złożonego procesu weryfikacji.
Informacje o użyciu zakresu
- Sprawdź zakresy, których używa Twoja aplikacja lub których chcesz używać. Aby znaleźć obecne wykorzystanie zakresu, sprawdzenie kodu źródłowego aplikacji pod kątem wszelkich zakresów wysłanych z żądaniami autoryzacji.
- Ustal, czy każdy żądany zakres jest niezbędny do realizacji zamierzonych działań funkcji aplikacji przy użyciu jak najmniejszych uprawnień wymaganych do świadczenia tej funkcji. Interfejs API Google zwykle ma dokumentacja na temat atrybutu produktu na stronie Google Developers sekcji punktów końcowych, które obejmują zakres wymagany do wywołania metody lub konkretnych właściwości w obrębie. Więcej informacji o wymaganych zakresach dostępu do punktów końcowych interfejsu API wywoływanych przez aplikację, zapoznaj się z dokumentacją tych i punktów końcowych. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
- Dane otrzymane z interfejsu API Google można używać tylko zgodnie z zasadami interfejsu API oraz w sposób opisany w opisie działania aplikacji i w polityce prywatności.
- Zapoznaj się z dokumentacją interfejsu API, aby dowiedzieć się więcej o każdym zakresie i jego potencjale. sensitive or restricted .
- Zadeklaruj wszystkie zakresy używane przez aplikację w: API Console Ekran zgody OAuth stronie zakresów konfiguracji. Określone zakresy są grupowane na wrażliwe lub z ograniczeniami kategorie, aby wyróżnić wszelkie dodatkowe czynności weryfikacyjne.
- znajdowanie najlepszego zakresu dopasowanego do danych używanych przez Twoją integrację, informacje o jego wykorzystaniu; ponownie upewnić się, że wszystko nadal działa w środowisku testowym, a następnie przygotować się do przesłania weryfikacji.
Pamiętaj, aby w planie wprowadzenia kampanii uwzględnić czas potrzebny na ukończenie weryfikacji aplikacji ani żadnych nowych funkcji, które wymagają nowego zakresu. Jeden z tych dodatkowych wymagań występuje, jeśli aplikacja uzyskuje dostęp do danych użytkownika Google z serwera lub ma możliwość uzyskania takiego dostępu. W w takich przypadkach system musi co roku oceny bezpieczeństwa wykonanej przez niezależnego, zewnętrznego weryfikatora zatwierdzone przez Google. Z tego powodu proces weryfikacji zakresów z ograniczeniami może może potrwać kilka tygodni. Pamiętaj, że wszystkie aplikacje muszą wykonać marka weryfikacji, co zwykle zajmuje 2–3 dni robocze, zmienił się od czasu ostatniej zatwierdzonej weryfikacji ekranu zgody OAuth.
Dozwolone typy aplikacji
Niektóre typy aplikacji mogą korzystać z ograniczonych zakresów dla każdej usługi. Dodatkowe informacje na temat typów aplikacji związanych z konkretnym produktem Strona dewelopera w Google Play (np. zasady interfejsu Gmail API).
Twoim obowiązkiem jest zapoznanie się z typami aplikacji i określenie typu aplikacji. Jeśli jednak nie masz pewności co do typu aplikacji, możesz nie wybierać opcji w pytaniu Jakie funkcje będziesz używać?, gdy przesyłasz aplikację do weryfikacji. Zespół weryfikacyjny Google API określi wówczas typ aplikacji.
Ocena zabezpieczeń
Każda aplikacja, która prosi o dostęp do ograniczonych danych i ma możliwość dostępu z serwera zewnętrznego lub za jego pośrednictwem muszą przejść ocenę zabezpieczeń Eksperci ds. bezpieczeństwa z pomocą Google. Ten test pomaga dbać o to, aby użytkownicy Google bezpieczeństwo danych Sprawdzanie, czy wszystkie aplikacje, które mają dostęp do danych użytkowników Google, wykazują możliwość ich obsługi bezpiecznie i usuwać dane na jego żądanie.
Aby ustandaryzować naszą ocenę bezpieczeństwa, korzystamy z App Defense Alliance oraz platforma oceny bezpieczeństwa aplikacji w chmurze (CASA).
Jak wspomnieliśmy wcześniej, aby zachować dostęp do zweryfikowanych zakresów, aplikacje muszą być ponownie być weryfikowana pod kątem zgodności z zasadami i przeprowadzać ocenę zabezpieczeń co najmniej raz na 12 miesięcy po datę zatwierdzenia listu oceniającego. Jeśli aplikacja doda nowy zakres z ograniczeniami, aplikacja może wymagać ponownej oceny, aby uwzględnić dodatkowy zakres, jeśli nie została uwzględniona w ramach poprzedniego oceny bezpieczeństwa.
Zespół Google ds. sprawdzania wyśle Ci e-maila, gdy nadejdzie pora na ponowne certyfikowanie aplikacji. Aby upewnić się, że o corocznym egzekwowaniu zasad zostaną powiadomieni członkowie zespołu, powiąż Konta z Twoim API Console projektem jako właściciela lub Redaktor. Warto też zadbać o to, by były na bieżąco z adresami e-mail osób zajmujących się pomocą i deweloperami określona w Google API Console OAuth Consent Screen page
Przygotowanie do weryfikacji
Wszystkie aplikacje, które używają interfejsów API Google do żądania dostępu do danych, muszą wykonać te czynności, aby przejść weryfikację marki:
- Sprawdź, czy Twoja aplikacja nie mieści się w żadnym z przypadków użycia opisanych w sekcji Wyjątki od wymagań weryfikacji.
- Upewnij się, że aplikacja spełnia wymagania dotyczące marki powiązane z powiązanymi interfejsami API lub usługi. Zobacz np. wskazówki dotyczące promowania marki. dla zakresów Logowania przez Google.
- Potwierdź własność projektu autoryzowanych domen w ramach Google Search Console. Użyj konta Google Konto powiązane z Twoim API Console projektem jako Właściciel lub Edytujący.
- Upewnij się, że wszystkie informacje dotyczące marki na ekranie zgody OAuth, takie jak nazwa aplikacji, adres e-mail pomocy, identyfikator URI strony głównej, identyfikator URI polityki prywatności itp., dokładnie odzwierciedlają tożsamość aplikacji.
Wymagania dotyczące strony głównej aplikacji
Upewnij się, że strona główna spełnia te wymagania:
- Strona główna musi być dostępna publicznie, a nie tylko dla zalogowanych użytkowników użytkowników.
- Należy jasno określić trafność strony głównej w odniesieniu do aplikacji, która jest w trakcie sprawdzania.
- Linki do informacji o aplikacji w Sklepie Google Play i na Facebooku nie są brane pod uwagę. prawidłowe strony główne aplikacji.
Wymagania dotyczące linku do polityki prywatności aplikacji
Upewnij się, że polityka prywatności Twojej aplikacji spełnia te wymagania:
- Polityka prywatności musi być widoczna dla użytkowników i musi być hostowana w tej samej domenie co Twoja do strony głównej aplikacji i link do niej na ekranie zgody OAuth Google API ConsolePamiętaj, że strona główna musi zawierać link opis funkcji aplikacji, a także linki do polityki prywatności opcjonalnych warunkach korzystania z usługi.
- Polityka prywatności musi określać, w jaki sposób aplikacja uzyskuje dostęp do przechowuje ani udostępnia dane użytkowników Google. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. Musisz ograniczyć korzystanie z danych użytkownika Google wyłącznie zgodnie z zasadami opisanymi przez Ciebie o ochronie prywatności.
- Review example cases of privacy policies that don't meet the Limited Use requirements.
Jak przesłać aplikację do weryfikacji
Google API Console Projekt pozwala uporządkować wszystkie API Console zasobów. Projekt składa się ze zbioru powiązanych kont Google, które mają uprawnienia do wykonywania operacji w projekcie, zestaw włączonych interfejsów API oraz płatności, uwierzytelniania i monitorowania dla tych interfejsów API. Projekt może na przykład zawierać co najmniej jednego klienta OAuth, skonfigurować interfejsy API do używania przez te klienty oraz skonfigurować Ekran zgody OAuth wyświetlany użytkownikom przed autoryzowaniem dostępu do Twojej aplikacji.
Jeśli klient OAuth nie jest gotowy do wdrożenia w wersji produkcyjnej, zalecamy usunięcie go z projekt, który prosi o weryfikację. Możesz to zrobić w Google API Console
Aby przesłać dokumenty do weryfikacji:
- Upewnij się, że aplikacja jest zgodna z Warunkami korzystania z interfejsów API Google oraz Zasady dotyczące danych użytkownika w usługach interfejsów API Google
- Zadbaj o aktualność ról właściciela i edytującego konta powiązanych z projektem. Adres e-mail pomocy technicznej dla użytkowników ekranu zgody OAuth oraz informacje kontaktowe dewelopera do API ConsoleDzięki temu odpowiednie osoby z Twojego zespołu otrzymają powiadomienie o nowych wymaganiach.
- Otwórz API Console OAuth. Consent Screen page
- Kliknij przycisk Selektor projektów.
-
W wyświetlonym oknie Wybierz wybierz projekt. Jeśli nie możesz znaleźć swojego projektu, ale znasz jego identyfikator, możesz utworzyć adres URL w przeglądarce w tym formacie:
https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]
Zastąp [PROJECT_ID] identyfikatorem projektu, którego chcesz użyć.
- Kliknij przycisk Edit App (Edytuj aplikację).
- Wpisz niezbędne informacje na stronie ekranu zgody OAuth, a potem kliknij przycisk Zapisz i kontynuuj.
- Za pomocą przycisku Dodaj lub usuń zakresy zadeklaruj wszystkie zakresy żądane przez aplikację. An początkowy zestaw zakresów wymaganych do korzystania z Logowania przez Google jest wstępnie wypełniony Zakresy niewrażliwe. Dodane zakresy są klasyfikowane jako niewrażliwe. sensitive, or restricted
- Podaj maksymalnie 3 linki do odpowiedniej dokumentacji dotyczącej powiązanych funkcji aplikacji.
-
Podaj w kolejnym kroków.
- Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
- Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
- If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.
-
Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.
- Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
- Show that the OAuth consent screen correctly displays the App Name.
- Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
- To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
- If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
- Select your permitted application type from the "What features will you use?" list.
- Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
- Jeśli podana przez Ciebie konfiguracja aplikacji wymaga weryfikacji, możesz przesłać aplikacji do weryfikacji. Wypełnij wymagane pola i kliknij Prześlij, aby rozpocząć proces weryfikacji.
Gdy prześlesz aplikację, Google Trust & Zespół ds. bezpieczeństwa przesyła e-mailem dodatkowych informacji lub czynności, które musisz wykonać. Sprawdź swoje adresy e-mail w Sekcja Dane kontaktowe dewelopera oraz adres e-mail zespołu pomocy powiązany z Twoją zgodą dotyczącą protokołu OAuth . Możesz też wyświetlić zgodę OAuth projektu sprawdzić bieżący stan projektu, m.in. sprawdzić, czy proces weryfikacji Adres jest wstrzymany na czas oczekiwania na Twoją odpowiedź.
Wyjątki od wymagań weryfikacji
Jeśli Twoja aplikacja będzie używana w którymkolwiek ze scenariuszy opisanych w poniższych sekcjach, nie muszą przesyłać go do sprawdzenia.
Do użytku osobistego
Jednym z takich przypadków jest sytuacja, w której jesteś jedynym użytkownikiem aplikacji lub aplikacja jest używana przez niewielką liczbę użytkowników, których znasz osobiście. Dla Ciebie i ograniczonej liczby użytkowników może to być wygodne, wraz z przejściem niezweryfikowana aplikacja ekranu i przyznając kontom osobistym dostęp do aplikacji.
Projekty używane na potrzeby programowania, testowania lub testowania warstwy
Aby zgodność z zasadami Google OAuth 2.0, zalecamy korzystanie z różnych projektów środowiska testowego i produkcyjnego. Zalecamy przesyłanie aplikacji tylko do weryfikacji. , jeśli chcesz udostępnić aplikację wszystkim użytkownikom mającym konto Google. Dlatego, jeśli Twoja aplikacja jest w fazie rozwoju, testów lub testowania, weryfikacja nie jest wymagana.
Jeśli aplikacja jest w fazie tworzenia lub testowania, możesz opuścić Stan publikacji w domyślnym ustawieniu Testowanie. To ustawienie oznacza, że aplikacja jest nadal w fazie rozwoju i jest dostępna tylko dla użytkowników, których dodasz do listy użytkowników testowych. Musisz zarządzać listą kont Google osoby uczestniczące w tworzeniu lub testowaniu aplikacji.
Tylko dane należące do usługi
Jeśli Twoja aplikacja używa konta usługi tylko do uzyskiwania dostępu do własnych danych i nie ma dostępu do żadnych użytkowników (powiązanych z kontem Google), nie musisz przesyłać danych do weryfikacji.
Aby dowiedzieć się, czym są konta usługi, zapoznaj się z artykułem Konta usługi w do dokumentacji Google Cloud. Instrukcje dotyczące korzystania z konta usługi znajdziesz w artykule Używanie protokołu OAuth 2.0 w aplikacjach międzyserwerowych.
Jest przeznaczony tylko do użytku wewnętrznego
Oznacza to, że z aplikacji mogą korzystać tylko osoby korzystające z Twojego konta Google Workspace lub Cloud Identity. organizacji. Projekt musi należeć do organizacji i znajdować się w niej ekran zgody OAuth należy skonfigurować dla Użytkownik wewnętrzny . W takim przypadku aplikacja może wymagać zatwierdzenia przez administratora organizacji. Dla: więcej informacji znajdziesz w Dodatkowe uwagi na temat Google Workspace.
- Więcej informacji o publicznych oraz do aplikacji wewnętrznych.
- Więcej informacji o oznaczaniu aplikacji jako wewnętrznej znajdziesz w najczęstszych pytaniach Jak oznaczyć aplikację jako tylko do użytku wewnętrznego?
Instalacja w całej domenie
Jeśli planujesz, że Twoja aplikacja będzie kierowana tylko do użytkowników organizacji korzystających z Google Workspace lub Cloud Identity i zawsze będzie używana w ramach instalacji na całą domenę, nie będzie wymagać weryfikacji. Dzieje się tak, ponieważ w całej domenie pozwala administratorowi domeny na przyznawanie dostępu aplikacjom zewnętrznym i wewnętrznym do użytkowników i skalowalnych danych. Tylko administratorzy organizacji mogą dodawać aplikacje do listy dozwolonych w swoich domenach.
Więcej informacji o instalowaniu aplikacji w całej domenie znajdziesz w często zadawanych pytaniach Moja aplikacja ma użytkowników z kontami firmowymi z innej domeny Google Workspace.