Для некоторых API Google (тех, которые принимают конфиденциальные или ограниченные области доступа) существуют требования к приложениям, запрашивающим разрешение на доступ к данным пользователей. Эти дополнительные требования для ограниченных областей доступа предполагают, что приложение должно продемонстрировать, что оно относится к разрешенному типу приложений, и пройти дополнительные проверки, включая возможную оценку безопасности.
Возможность использования ограниченных областей доступа в рамках API в основном зависит от степени доступа, необходимой для предоставления соответствующей функции в вашем приложении: только для чтения, только для записи, чтение и запись и т. д.
При использовании OAuth 2.0 для получения разрешения от учетной записи Google на доступ к этим данным, вы используете строки, называемые областями доступа (scopes) , чтобы указать тип данных, к которым вы хотите получить доступ, и необходимый объем доступа. Если ваше приложение запрашивает конфиденциальные или ограниченные области доступа, вам необходимо пройти процесс проверки, если только использование вашего приложения не подпадает под исключение .
Ограниченных областей доступа меньше, чем конфиденциальных. В разделе «Часто задаваемые вопросы по проверке API OAuth» содержится актуальный список конфиденциальных и ограниченных областей доступа. Эти области предоставляют широкий доступ к данным пользователей Google и требуют прохождения процесса проверки перед запросом доступа к ним из любой учетной записи Google. Информацию об этом требовании см. в Политике использования пользовательских данных в сервисах Google API и в разделе «Дополнительные требования для конкретных областей доступа API» или на странице Google Developer, посвященной конкретному продукту. Если вы храните или передаете данные с ограниченной областью доступа на серверах, вам необходимо пройти оценку безопасности .
Понимание ограниченных областей применения
Если ваше приложение запрашивает какие-либо ограниченные области действия и не подпадает под исключение , вам необходимо выполнить дополнительные требования для конкретных областей действия API, указанные в Политике пользовательских данных Google API Services, или требования, специфичные для продукта, на странице Google Developer этого продукта, что требует более тщательной проверки.
Разберитесь в использовании области применения.
- Проверьте области действия (scopes), которые использует или хочет использовать ваше приложение. Чтобы узнать, какие области действия используются в настоящее время, изучите исходный код вашего приложения на предмет областей действия, отправляемых вместе с запросами авторизации.
- Убедитесь, что каждая запрашиваемая область доступа необходима для выполнения предполагаемых действий вашей функции приложения, и используйте минимально необходимые привилегии для предоставления этой функции. Как правило, на странице Google Developer для конечных точек API Google имеется справочная документация, в которой указывается область доступа, необходимая для вызова конечной точки или конкретных свойств. Для получения дополнительной информации о необходимых областях доступа для конечных точек API, которые вызывает ваше приложение, ознакомьтесь со справочной документацией этих конечных точек. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
- Данные, полученные вами через API Google, должны использоваться только в соответствии с политикой API и в соответствии с тем, как вы информируете пользователей о действиях в вашем приложении и в вашей политике конфиденциальности.
- Для получения более подробной информации о каждой области действия, включая ее потенциальные возможности, обратитесь к документации API. sensitive or restricted статус.
- Объявите все области видимости, используемые вашим приложением, в... Cloud Console's Data Access page Указанные вами области действия группируются в категории "конфиденциальная информация" или "ограниченный доступ", чтобы выделить любые дополнительные проверки, которые могут потребоваться.
- Найдите оптимальную область действия, соответствующую данным, используемым вашей интеграцией, разберитесь в её назначении, ещё раз убедитесь, что всё по-прежнему работает в тестовой среде, а затем подготовьтесь к отправке на проверку.
Обязательно учтите время, необходимое для завершения проверки, в своем плане запуска приложения или любых новых функций, требующих изменения области действия. Одно из таких дополнительных требований возникает, если приложение получает доступ к пользовательским данным Google или имеет возможность доступа к ним через сервер. В таких случаях система должна проходить ежегодную оценку безопасности независимым сторонним экспертом, одобренным Google. По этой причине процесс проверки ограниченных областей действия может занять несколько недель. Обратите внимание, что все приложения должны сначала пройти этап проверки бренда , который обычно занимает 2-3 рабочих дня, если информация о бренде изменилась с момента последней одобренной проверки согласия OAuth.
Разрешенные типы приложений
Для некоторых типов приложений доступ к ограниченным областям действия каждого продукта возможен. Типы приложений можно найти на странице Google Developer Page , посвященной конкретному продукту (например, в политике использования API Gmail).
Вы несёте ответственность за понимание и определение типа вашего приложения. Однако, если вы действительно не уверены в типе своего приложения, вы можете не выбирать никаких вариантов в вопросе « Какие функции вы будете использовать?» при отправке приложения на проверку. Затем команда проверки Google API определит тип приложения.
Оценка безопасности
Каждое приложение, запрашивающее доступ к ограниченным данным пользователей Google и имеющее возможность получать доступ к данным с серверов третьих лиц или через них, должно пройти оценку безопасности, проводимую аккредитованными Google экспертами по безопасности. Эта оценка помогает обеспечить безопасность данных пользователей Google, проверяя, что все приложения, получающие доступ к данным пользователей Google, демонстрируют способность безопасно обрабатывать данные и удалять данные пользователей по их запросу.
Для стандартизации нашей оценки безопасности мы используем App Defense Alliance и структуру оценки безопасности облачных приложений (CASA).
Как уже упоминалось ранее, для сохранения доступа к любым подтвержденным ограниченным областям действия приложения должны проходить повторную проверку на соответствие требованиям и оценку безопасности не реже чем каждые 12 месяцев после даты утверждения оценочным письмом (LOA) вашим экспертом. Если ваше приложение добавляет новую ограниченную область действия, может потребоваться повторная оценка, чтобы охватить дополнительную область, если она не была включена в предыдущую оценку безопасности.
Команда Google по проверке приложений пришлет вам электронное письмо, когда придет время повторной сертификации вашего приложения. Чтобы убедиться, что соответствующие члены вашей команды будут уведомлены об этом ежегодном контроле, свяжите дополнительные учетные записи Google с вашим приложением. Cloud Console Это также помогает поддерживать в актуальном состоянии адреса электронной почты службы поддержки пользователей и разработчиков, указанные в Google. Cloud Console OAuth Branding page.
Этапы подготовки к проверке
Все приложения, использующие API Google для запроса доступа к данным, должны выполнить следующие шаги для завершения проверки бренда:
- Убедитесь, что ваше приложение не подпадает ни под один из вариантов использования, указанных в разделе «Исключения из требований к проверке» .
- Убедитесь, что ваше приложение соответствует требованиям к фирменному стилю соответствующих API или продуктов. Например, ознакомьтесь с рекомендациями по фирменному стилю для областей действия Google Sign-In.
- Проверьте права собственности на авторизованные домены вашего проекта в Google Search Console . Используйте учетную запись Google, связанную с вашим проектом. API Console Вы можете выступать в роли владельца или редактора проекта.
- Убедитесь, что вся информация о бренде на экране согласия OAuth, такая как название приложения, адрес электронной почты службы поддержки, URI домашней страницы, URI политики конфиденциальности и т. д., точно отражает идентичность приложения.
Требования к главной странице приложения
Убедитесь, что ваша главная страница соответствует следующим требованиям:
- Ваша главная страница должна быть общедоступной, а не только доступной для зарегистрированных пользователей сайта.
- Необходимо четко обозначить связь вашей главной страницы с рассматриваемым приложением.
- Ссылки на страницу вашего приложения в Google Play Store или на его страницу в Facebook не считаются действительными домашними страницами приложений.
Требования к ссылке на политику конфиденциальности приложения
Убедитесь, что политика конфиденциальности вашего приложения соответствует следующим требованиям:
- Политика конфиденциальности должна быть видна пользователям, размещена в том же домене, что и главная страница вашего приложения, и содержать ссылку на нее на экране согласия OAuth. Google API ConsoleОбратите внимание, что на главной странице должно быть описание функциональности приложения, а также ссылки на политику конфиденциальности и, при желании, условия использования.
- В политике конфиденциальности необходимо указать, каким образом ваше приложение получает доступ к пользовательским данным Google, использует, хранит или передает их третьим лицам. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes.Вы должны ограничить использование пользовательских данных Google в соответствии с правилами, изложенными в вашей опубликованной политике конфиденциальности.
- Review example cases of privacy policies that don't meet the Limited Use requirements.
Как отправить приложение на проверку
А Google Cloud Console проект организует все ваши Cloud Console Ресурсы. Проект состоит из набора связанных учетных записей Google, имеющих разрешение на выполнение операций проекта, набора включенных API, а также настроек выставления счетов, аутентификации и мониторинга для этих API. Например, проект может содержать один или несколько клиентов OAuth, настраивать API для использования этими клиентами и настраивать экран согласия OAuth , который отображается пользователям перед тем, как они разрешат доступ к вашему приложению.
Если какой-либо из ваших OAuth-клиентов не готов к использованию в производственной среде, мы рекомендуем удалить его из проекта, запрашивающего проверку. Это можно сделать в настройках проекта. Clients page.
Для отправки запроса на проверку выполните следующие шаги:
- Убедитесь, что ваше приложение соответствует Условиям использования API Google и Политике обработки пользовательских данных сервисов API Google .
- В вашем файле конфигурации постоянно обновляйте информацию о ролях владельца и редактора в учетных записях, связанных с вашим проектом, а также адрес электронной почты службы поддержки пользователей и контактные данные разработчика на экране согласия OAuth. Cloud ConsoleЭто гарантирует, что все необходимые члены вашей команды будут уведомлены о любых новых требованиях.
- Перейдите в Cloud ConsoleЦентр проверки OAuth.
- Нажмите кнопку выбора проекта .
В появившемся диалоговом окне «Выбрать из» выберите свой проект. Если вы не можете найти свой проект, но знаете его идентификатор, вы можете сформировать URL-адрес в браузере в следующем формате:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Замените [PROJECT_ID] на идентификатор проекта, который вы хотите использовать.
- Нажмите кнопку «Редактировать приложение» .
- Введите необходимую информацию на странице подтверждения согласия OAuth, а затем нажмите кнопку «Сохранить и продолжить» .
- Используйте кнопку «Добавить или удалить области действия» , чтобы объявить все области действия, запрашиваемые вашим приложением. Первоначальный набор областей действия, необходимых для входа через Google, предварительно заполнен в разделе « Неконфиденциальные области действия» . Добавленные области действия классифицируются как неконфиденциальные. sensitive, or restricted.
- Предоставьте до трех ссылок на соответствующую документацию по смежным функциям вашего приложения.
На последующих этапах предоставьте любую дополнительную информацию о вашем приложении, которая будет запрошена.
- Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
- Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
- If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.
-
Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.
- Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
- Show that the OAuth consent screen correctly displays the App Name.
- Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
- To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
- If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
- Select your permitted application type from the "What features will you use?" list.
- Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
- Если предоставленная вами конфигурация приложения требует проверки, у вас есть возможность отправить приложение на проверку. Заполните необходимые поля и нажмите «Отправить» , чтобы начать процесс проверки.
После отправки вашего приложения команда Google Trust & Safety свяжется с вами по электронной почте, чтобы предоставить необходимую дополнительную информацию или указать шаги, которые вам нужно выполнить. Проверьте свои адреса электронной почты в разделе «Контактная информация разработчика» и адрес электронной почты службы поддержки на экране согласия OAuth на наличие запросов на дополнительную информацию. Вы также можете просмотреть страницу экрана согласия OAuth вашего проекта, чтобы подтвердить текущий статус проверки, включая информацию о том, приостановлен ли процесс проверки в ожидании вашего ответа.
Исключения из требований к проверке
Если ваше приложение будет использоваться в каком-либо из сценариев, описанных в следующих разделах, вам не нужно отправлять его на проверку.
Личное использование
Один из вариантов использования — если вы являетесь единственным пользователем вашего приложения или если им пользуется лишь небольшое количество пользователей, всех из которых вы лично знаете. В этом случае вы и ваши ограниченные пользователи можете спокойно пройти этап непроверенного приложения и предоставить доступ к нему своим личным учетным записям.
Проекты, используемые на этапах разработки, тестирования или промежуточной среды.
Для соответствия правилам Google OAuth 2.0 мы рекомендуем использовать разные проекты для тестовой и производственной сред. Мы рекомендуем отправлять приложение на проверку только в том случае, если вы хотите сделать его доступным для всех пользователей с учетной записью Google. Поэтому, если ваше приложение находится на стадии разработки, тестирования или промежуточной среды, проверка не требуется.
Если ваше приложение находится на стадии разработки или тестирования, вы можете оставить статус публикации по умолчанию — «Тестирование» . Этот параметр означает, что ваше приложение все еще находится в разработке и доступно только пользователям, которых вы добавите в список тестовых пользователей. Вам необходимо управлять списком учетных записей Google, участвующих в разработке или тестировании вашего приложения.
Только данные, принадлежащие сервису.
Если ваше приложение использует служебный аккаунт для доступа только к собственным данным и не имеет доступа к данным пользователей (связанным с аккаунтом Google), то вам не нужно отправлять запрос на верификацию.
Чтобы понять, что такое сервисные учетные записи, см. раздел «Сервисные учетные записи» в документации Google Cloud. Инструкции по использованию сервисной учетной записи см. в разделе «Использование OAuth 2.0 для приложений, работающих между серверами» .
Только для внутреннего использования
Это означает, что приложение используется только пользователями вашей организации Google Workspace или Cloud Identity. Проект должен принадлежать организации, а экран согласия OAuth должен быть настроен для внутреннего типа пользователя . В этом случае вашему приложению может потребоваться одобрение администратора организации. Для получения дополнительной информации см. раздел «Дополнительные рекомендации для Google Workspace» .
- Узнайте больше об общедоступных и внутренних приложениях .
- Узнайте, как пометить ваше приложение как внутреннее, в разделе часто задаваемых вопросов. Как пометить мое приложение как предназначенное только для внутреннего использования?
Установка в масштабе всего домена
Если вы планируете использовать ваше приложение только для пользователей организации Google Workspace или Cloud Identity и всегда применять установку на уровне домена , то проверка бренда для вашего приложения не потребуется. Однако, если ваше приложение использует ограниченные или конфиденциальные области доступа , проверка приложения потребуется. Это связано с тем, что установка на уровне домена позволяет администратору домена предоставлять сторонним и внутренним приложениям доступ к данным ваших пользователей. Только администраторы организации могут добавить приложение в список разрешенных для использования в своих доменах.
Узнайте, как сделать ваше приложение устанавливаемым на уровне домена, в разделе часто задаваемых вопросов (FAQ). В моем приложении есть пользователи с корпоративными учетными записями из другого домена Google Workspace .