受限制範圍驗證

特定 Google API (接受 的 API 敏感或 受限制 範圍) 針對要求存取消費者資料的應用程式製定相關規定。 這些受限制範圍的額外規定要求應用程式證明自己是允許的應用程式類型，並提交其他審查項目，包括可能的安全性評估。

API 中受限制範圍的適用性，主要取決於應用程式提供相關功能所需的存取權限程度：唯讀、唯寫、讀取和寫入等。

透過 OAuth 2.0 取得 Google 帳戶存取權的權限時， 字串稱為「scopes」，用來指定您要存取的資料類型，以及 需求。如果您的應用程式會送出要求 敏感或 受限制範圍，您需要完成驗證 除非應用程式使用符合 例外狀況的資格，否則我們不予受理。

與敏感範圍相比，受限範圍的數量較少。 驗證 OAuth API 驗證常見問題包含目前的敏感和受限制範圍清單。 這些範圍可讓使用者廣泛存取 Google 使用者資料，並要求您進行範圍驗證 程序，再從任何 Google 帳戶要求範圍。如需相關資訊 相關規定，請參閱《Google API 服務使用者資料政策》 和特定 API 範圍的其他規定，或 產品專屬的 Google 開發人員頁面如果您儲存或傳輸受限制的範圍 那麼您需要完成一項安全措施 評估。

瞭解受限制範圍

如果您的應用程式要求任何受限制的範圍，因此無法使用 例外狀況，就必須符合 Google API 服務使用者資料的特定 API 範圍其他規定 政策或產品相關規定 Google Developers 頁面， 這需要更嚴謹的審查程序

瞭解範圍使用情形

  • 檢查應用程式使用或要使用的範圍。如要查看現有範圍的用量， 檢查應用程式的原始碼，找出透過授權要求傳送的所有範圍。
  • 判斷每個要求的範圍，都必須執行應用程式功能預期的動作 並使用提供功能所需的最低權限。Google API 通常 相關文件的 Google Developers 頁面，其端點包含呼叫 端點或內部的特定屬性如要進一步瞭解 存取應用程式呼叫的 API 端點，請參閱相關清單 端點。 For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
  • 您從 Google API 收到的資料使用時，必須遵守 也會依照您在應用程式動作和 隱私權政策。
  • 請參閱 API 說明文件，進一步瞭解各個範圍，包括可能的 sensitive or restricted 狀態。
  • 在 API Console的 OAuth 同意畫面 設定範圍頁面您指定的範圍分為敏感或受限制 類別，醒目顯示任何其他必要驗證。
  • 找出與整合所用資料相符的最佳範圍、瞭解其用途， 還是確認測試環境中的所有功能仍然正常運作， 驗證。

請務必將應用程式或任何需要新範圍的新功能的驗證時間納入您的發布計畫。如果貴機構 應用程式即可存取或存取 Google 使用者資料，或透過伺服器存取。於 在這些情況下，系統必須每年進行一次 獨立第三方評估機構提供的安全性評估 都經過 Google 核准因此，受限制範圍的驗證程序可能需要數週才能完成。請注意，所有應用程式都必須完成 brand [品牌] 驗證步驟。如果是品牌宣傳資訊，通常需要 2 至 3 個工作天 自上次核准 OAuth 同意畫面驗證後已有所變更。

允許的應用程式類型

某些應用程式類型可以存取每項產品的受限制範圍。您可以在 像是產品專屬的應用程式類型 Google 開發人員頁面 (例如 Gmail API 政策)。

您有責任瞭解並決定您的應用程式類型。 不過，如果您不確定自己的應用程式類型為何，可以選擇「否」 在提交應用程式驗證時，使用「您會使用哪些功能？」問題的選項。 接著，Google API 驗證團隊會判定應用程式類型。

安全性評估

向 Google 使用者提出存取要求的所有應用程式並且可存取 來自第三方伺服器的資料或經由第三方伺服器，必須通過 Google 設置的安全性評估人員。這項評估可驗證所有存取 Google 使用者資料的應用程式，確保這些應用程式能夠安全地處理資料，並在使用者要求時刪除使用者資料，進而保護 Google 使用者的資料安全。

為使安全性評估標準化，我們採用 App Defense Alliance 和雲端應用程式安全性評估架構 (CASA)。

如前所述，如要保留任何已驗證的受限制範圍存取權，應用程式必須符合 針對法規遵循情況重新驗證，並且在您的 評估者的評估書 (LOA) 核准日期。如果應用程式新增了受限制的範圍， 如果應用程式 安全性評估

當您需要重新認證應用程式時，Google 審查團隊會傳送電子郵件通知您。為了確保 正確通知團隊成員會收到這項年度違規處置的通知，並連結其他 Google 專案具有「擁有者」或「擁有者」角色的帳戶 API Console 。這也有助於隨時更新 Google API Console OAuth Consent Screen page中指定的使用者支援和開發人員聯絡電子郵件。

驗證前的準備步驟

所有使用 Google API 要求存取資料的應用程式，都必須完成下列步驟來完成品牌驗證：

  1. 確認您的應用程式不屬於「驗證規定例外狀況」一節中的任何用途。
  2. 確認您的應用程式符合相關 API 的品牌規定。 產品。例如，請參閱 Google 登入權限的品牌宣傳指南。
  3. 驗證專案的擁有權 授權網域 Google Search Console：使用與 API Console 專案相關聯的 Google 帳戶，以擁有者或編輯者的身分登入。
  4. 請確認 OAuth 同意聲明畫面上的所有品牌資訊 (例如應用程式名稱、支援電子郵件、首頁 URI、隱私權政策 URI 等) 都正確代表應用程式的身分。

應用程式首頁需求條件

請確認您的首頁符合下列規定：

  • 首頁必須開放公開存取，而非僅限網站登入使用者存取。
  • 首頁與審核中的應用程式的關聯性必須明確。
  • 系統不會將 Google Play 商店或 Facebook 粉絲專頁的連結視為應用程式資訊的連結 有效的應用程式首頁

應用程式隱私權政策連結規定

請確認應用程式的隱私權政策符合下列規定：

  • 使用者必須能看見隱私權政策，且隱私權政策須與 並在應用程式的 OAuth 同意畫面上連結 Google API Console。請注意，首頁必須包含應用程式功能的說明，以及隱私權政策和選用的服務條款連結。
  • 隱私權政策必須揭露應用程式存取、使用、儲存或分享 Google 使用者資料的方式。 The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. 您必須將 Google 使用者資料的使用範圍限制在已發布的隱私權政策中揭露的做法。
  • Review example cases of privacy policies that don't meet the Limited Use requirements.

如何提交應用程式進行驗證

Google API Console 專案可以用來彙整 API Console 資源。專案是由一組 有權執行專案作業的 Google 帳戶、一組已啟用的 API，以及 帳單、驗證和監控設定例如，專案 包含一或多個 OAuth 用戶端、設定 API 供這些用戶端使用，然後設定 在使用者授權存取您的應用程式前顯示的 OAuth 同意畫面。

如果任何 OAuth 用戶端尚未準備好用於實際工作環境，建議您從要求驗證的專案中刪除這些用戶端。您可以前往 Google API Console。

如要提交驗證資料，請按照下列步驟操作：

  1. 確認您的應用程式符合《Google API 服務條款》和 Google API 服務使用者資料政策。
  2. 確保與專案相關帳戶的擁有者和編輯者角色保持最新狀態 OAuth 同意畫面的使用者支援電子郵件和開發人員聯絡資訊，在您的 API Console。這麼做可確保應用程式的正確成員 如果團隊有任何新要求，就會收到通知。
  3. 前往 API Console OAuth Consent Screen page。
  4. 按一下「Project selector」按鈕。

  5. 在畫面顯示的「Select from」對話方塊中，選取您的專案。如果找不到 但知道您的專案 ID 可以在以下位置在瀏覽器中建構網址： 格式：

    https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

    將 [PROJECT_ID] 替換為您要使用的專案 ID。

  6. 選取「Edit App」按鈕。
  7. 在 OAuth 同意畫面頁面上輸入必要資訊，然後選取「儲存並繼續」按鈕。
  8. 請使用「新增或移除範圍」按鈕，宣告應用程式要求的所有範圍。「非敏感範圍」部分會預先填入 Google 登入所需的初始範圍組合。新增的範圍會歸類為非機密範圍 sensitive, or restricted。
  9. 針對應用程式中的相關功能提供最多三個相關說明文件的連結。

  10. 在後續步驟中提供更多有關應用程式的資訊 100 萬步的訓練

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

      1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
      2. Show that the OAuth consent screen correctly displays the App Name.
      3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
      4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
      5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
  11. 如果您提供的應用程式設定需要驗證，您可以提交應用程式進行驗證。填寫必填欄位，然後按一下「提交」，即可開始 驗證程序。

提交應用程式後，Google 的信任與安全團隊會透過電子郵件，後續追蹤 他們需要的其他資訊或必須完成的步驟請檢查「開發人員聯絡資訊」部分的電子郵件地址，以及 OAuth 同意畫面的支援電子郵件地址，瞭解是否有其他資訊要求。您也可以查看專案的 OAuth 同意 確認專案目前的審查狀態，包括審查程序 在等待回覆期間，系統會暫停播放。

驗證規定的例外狀況

如果應用程式適用於以下各節所述的任何情況， 就不需要提交送審

個人使用

其中一個用途就是您是應用程式唯一的使用者，或只有少數使用者使用您的應用程式。 這些人就是大家認識的您和少數使用者可能願意 中的下一個項目 未驗證的應用程式 應用程式」畫面中，並授權您的個人帳戶存取應用程式。

用於「開發、測試或準備階段」的專案 級別

為了 遵守 Google OAuth 2.0 政策，我們建議您為 測試和正式環境建議您只提交應用程式進行驗證 您必須選擇是否讓任何擁有 Google 帳戶的使用者都能使用您的應用程式因此，如果您的應用程式處於開發、測試或測試階段，則不需要進行驗證。

如果您的應用程式處於開發或測試階段，您可以 發布狀態 預設為 測試：這項設定表示應用程式仍處於開發階段，且僅限 您加入測試使用者清單的使用者就能使用您必須管理應用程式開發或測試作業所涉及的 Google 帳戶清單。

警告訊息：指出 Google 尚未驗證正在進行測試的應用程式。
圖 1. 測試人員警告畫面

僅限服務擁有的資料

如果應用程式只透過服務帳戶存取自己的資料，但沒有存取任何使用者 資料 (與 Google 帳戶連結)，就不需要提交驗證資料。

如要瞭解服務帳戶，請參閱 Google Cloud 說明文件中的「服務帳戶」一文。如需使用服務帳戶的操作說明，請參閱 針對伺服器對伺服器使用 OAuth 2.0 應用程式。

僅限內部使用

也就是說，只有 Google Workspace 或 Cloud Identity 中的使用者能使用該應用程式 。專案必須由機構擁有，而且專案 OAuth 同意畫面必須歸機構所有 必須設定 內部使用者 type (類型)。在此情況下，應用程式可能需要取得機構管理員的核准。適用對象 如需更多資訊，請參閱 其他資訊 Google Workspace 的考量重點。

全網域安裝

如果您打算讓應用程式只鎖定 Google Workspace 或 Cloud Identity 機構的使用者，並一律使用全網域安裝，則應用程式就不需要驗證。這是因為整個網域 安裝程序可讓網域管理員授權第三方和內部應用程式存取 使用者資料。只有機構管理員才能將應用程式新增至 允許其網域使用。

參閱常見問題，瞭解如何將應用程式設為全網域安裝 我的應用程式有使用者 其他 Google Workspace 網域的公司帳戶。