Ciertas APIs de Google (las que aceptan permisos sensibles o restringidos) tienen requisitos para las apps que buscan permiso para acceder a los datos de los consumidores. Estos requisitos adicionales para los permisos restringidos exigen que una app demuestre que es un tipo de aplicación permitido y que se someta a revisiones adicionales, que incluyen una posible evaluación de seguridad.
La aplicabilidad de los permisos restringidos dentro de una API depende, en su mayoría, del grado de acceso necesario para proporcionar una función relevante en tu app: solo lectura, solo escritura, lectura y escritura, etcétera.
Cuando usas OAuth 2.0 para obtener permiso de una Cuenta de Google para acceder a estos datos, usas cadenas llamadas permisos para especificar el tipo de datos a los que quieres acceder y el nivel de acceso que necesitas. Si tu app solicita permisos sensibles o restringidos, debes completar el proceso de verificación, a menos que el uso de tu app califique para una excepción.
Los permisos restringidos son menos que los sensibles. Las Preguntas frecuentes sobre la verificación de la API de OAuth contienen la lista actual de permisos sensibles y restringidos. Estos permisos proporcionan un acceso amplio a los datos de los usuarios de Google y requieren que pases por un proceso de verificación de permisos antes de solicitarlos desde cualquier Cuenta de Google. Para obtener información sobre este requisito, consulta la Política de Datos del Usuario de los Servicios de la API de Google y los Requisitos adicionales para permisos de API específicos o la página de Google Developers específica del producto. Si almacenas o transmites datos de alcance restringido en servidores, debes completar una evaluación de seguridad.
Información sobre los permisos restringidos
Si tu app solicita permisos restringidos y no cumple con los requisitos para una excepción, debes cumplir con los requisitos adicionales para permisos de APIs específicos de la Política de Datos del Usuario de los Servicios de las APIs de Google o con los requisitos específicos del producto que se indican en la página de Google Developers del producto, lo que requiere un proceso de revisión más extenso.
Comprende el uso de los permisos
- Revisa los permisos que usa tu app o que quieres usar. Para encontrar el uso de permisos existente, examina el código fuente de tu app en busca de los permisos que se envían con las solicitudes de autorización.
- Determina que cada permiso solicitado sea necesario para las acciones previstas de la función de tu app y que use el privilegio mínimo necesario para proporcionar la función. Por lo general, una API de Google tiene documentación de referencia en la página de Google Developers del producto para sus extremos, que incluye el permiso necesario para llamar al extremo o a las propiedades específicas que contiene. Para obtener más información sobre los permisos de acceso necesarios para los endpoints de API a los que llama tu app, lee la documentación de referencia de esos endpoints. Por ejemplo, para una app que solo usa las APIs de Gmail para enviar correos electrónicos de forma ocasional en nombre de un usuario, no solicites el permiso que proporciona acceso completo a los datos de correo electrónico del usuario.
- Los datos que recibas de una API de Google solo se deben usar de conformidad con las políticas de la API y de la manera que les indiques a tus usuarios en las acciones de tu app y en tu política de privacidad.
- Consulta la documentación de la API para obtener más información sobre cada permiso, incluido su estado potencial de sensible o restringido.
- Declara todos los permisos que usa tu app en la página Acceso a los datos de la consola de Cloud. Los permisos que especificas se agrupan en categorías sensibles o restringidas para destacar cualquier verificación adicional que se requiera.
- Busca el mejor permiso que coincida con los datos que usa tu integración, comprende su uso, vuelve a confirmar que todo siga funcionando en un entorno de pruebas y, luego, prepárate para enviar la solicitud de verificación.
Asegúrate de tener en cuenta el tiempo necesario para completar la verificación en tu plan de lanzamiento de la app o de cualquier función nueva que requiera un alcance nuevo. Uno de estos requisitos adicionales se produce si la app accede o tiene la capacidad de acceder a los datos del usuario de Google desde un servidor o a través de él. En estos casos, el sistema debe someterse a una evaluación de seguridad anual por parte de un evaluador externo independiente aprobado por Google. Por este motivo, el proceso de verificación de permisos restringidos puede tardar varias semanas en completarse. Ten en cuenta que todas las apps deben completar primero el paso de verificación de marca, que suele tardar entre 2 y 3 días hábiles, si la información de desarrollo de marca cambió desde la última verificación aprobada de la pantalla de consentimiento de OAuth.
Tipos de aplicaciones permitidas
Ciertos tipos de aplicaciones pueden acceder a permisos restringidos para cada producto. Puedes encontrar los tipos de aplicaciones en la página de Google Developers específica del producto (por ejemplo, la Política de la API de Gmail).
Es tu responsabilidad comprender y determinar el tipo de aplicación. Sin embargo, si realmente no sabes cuál es el tipo de aplicación de tu app, puedes no seleccionar ninguna opción para la pregunta ¿Qué funciones usarás? cuando envíes la app para su verificación. Luego, el equipo de verificación de la API de Google determinará el tipo de aplicación.
Security assessment
Todas las apps que soliciten acceso a los datos restringidos de los usuarios de Google y que tengan la capacidad de acceder a datos desde un servidor de terceros o a través de él deben someterse a una evaluación de seguridad por parte de los asesores de seguridad de Google. Esta evaluación ayuda a mantener seguros los datos de los usuarios de Google, ya que verifica que todas las apps que acceden a ellos demuestren la capacidad de manejarlos de forma segura y de borrarlos cuando un usuario lo solicite.
Para estandarizar nuestra evaluación de seguridad, usamos la App Defense Alliance y el framework de evaluación de seguridad para aplicaciones en la nube (CASA).
Como se mencionó anteriormente, para mantener el acceso a cualquier permiso restringido verificado, las apps deben volver a verificarse para comprobar el cumplimiento y completar una evaluación de seguridad al menos cada 12 meses después de la fecha de aprobación de la carta de evaluación (LOA) del evaluador. Si tu app agrega un nuevo permiso restringido, es posible que deba volver a evaluarse para cubrir el permiso adicional si no se incluyó en una evaluación de seguridad anterior.
El equipo de revisión de Google te enviará un correo electrónico cuando sea el momento de volver a certificar tu app. Para asegurarte de que se notifique a los miembros correctos de tu equipo sobre esta aplicación de medidas anual, asocia Cuentas de Google adicionales con tu proyecto de la consola de Cloud como propietario o editor. También ayuda a mantener actualizados los correos electrónicos de contacto de asistencia al usuario y de desarrolladores que se especifican en la página de desarrollo de la marca de OAuth de la consola de Google Cloud.
Pasos para prepararse para la verificación
Todas las apps que usan las APIs de Google para solicitar acceso a los datos deben realizar los siguientes pasos para completar la verificación de la marca:
- Confirma que tu app no se encuentre en ninguno de los casos de uso de la sección Excepciones a los requisitos de verificación.
- Asegúrate de que tu app cumpla con los requisitos de desarrollo de la marca de las APIs o el producto asociados. Por ejemplo, consulta los lineamientos de desarrollo de la marca para los permisos de Acceso con Google.
- Verifica la propiedad de los dominios autorizados de tu proyecto en Google Search Console. Usa una Cuenta de Google asociada a tu proyecto de la Consola de APIs como propietario o editor.
- Asegúrate de que toda la información de desarrollo de la marca en la pantalla de consentimiento de OAuth, como el nombre de la app, el correo electrónico de asistencia, el URI de la página principal, el URI de la política de privacidad, etc., represente con precisión la identidad de la app.
Requisitos de la página principal de la aplicación
Asegúrate de que tu página principal cumpla con los siguientes requisitos:
- La página principal debe ser de acceso público, no solo para los usuarios que accedieron a tu sitio.
- Debe quedar clara la relevancia de tu página principal para la app que se está revisando.
- Los vínculos a la ficha de tu app en Google Play Store o a su página de Facebook no se consideran páginas principales válidas de la app.
Requisitos del vínculo a la política de privacidad de la aplicación
Asegúrate de que la política de privacidad de tu app cumpla con los siguientes requisitos:
- La política de privacidad debe ser visible para los usuarios, estar alojada en el mismo dominio que la página principal de tu aplicación y tener un vínculo en la pantalla de consentimiento de OAuth de la Consola de APIs de Google. Ten en cuenta que la página principal debe incluir una descripción de la funcionalidad de la app, así como vínculos a la política de privacidad y las condiciones del servicio opcionales.
- La política de privacidad debe divulgar la manera en que tu aplicación accede a los datos del usuario de Google, los usa, los almacena o los comparte. La política de privacidad debe cumplir con la Política de Datos del Usuario de los Servicios de las APIs de Google y los requisitos de Uso Limitado para los permisos restringidos. Debes limitar el uso de los datos del usuario de Google a las prácticas que divulga tu política de privacidad publicada.
- Revisa los casos de ejemplo de políticas de privacidad que no cumplen con los requisitos de Uso Limitado.
Cómo enviar tu app para la verificación de la marca
Un proyecto de la consola de Google Cloud organiza todos tus recursos de la consola de Cloud. Un proyecto consiste en un conjunto de Cuentas de Google asociadas que tienen permiso para realizar operaciones del proyecto, un conjunto de APIs habilitadas y parámetros de configuración de facturación, autenticación y supervisión para esas APIs. Por ejemplo, un proyecto puede contener uno o más clientes de OAuth, configurar APIs para que las usen esos clientes y configurar una pantalla de consentimiento de OAuth que se muestra a los usuarios antes de que autoricen el acceso a tu app.
Si alguno de tus clientes de OAuth no está listo para la producción, te sugerimos que lo borres del proyecto que solicita la verificación. Puedes hacerlo en la página Clientes.
Para enviar la información para la verificación, sigue estos pasos:
- Asegúrate de que tu app cumpla con las Condiciones del Servicio de las APIs de Google y la Política de Datos del Usuario de los Servicios de las APIs de Google.
- Mantén actualizados los roles de propietario y editor de las cuentas asociadas a tu proyecto, así como el correo electrónico de asistencia al usuario y la información de contacto del desarrollador de la pantalla de consentimiento de OAuth en la consola de Cloud. Esto garantiza que se notifique a los miembros adecuados de tu equipo sobre cualquier requisito nuevo.
- Ve a la página de desarrollo de la marca de OAuth de la consola de Cloud.
- Haz clic en el botón Selector de proyectos.
En el diálogo Seleccionar de que aparece, elige tu proyecto. Si no puedes encontrar tu proyecto, pero conoces su ID del proyecto, puedes crear una URL en tu navegador con el siguiente formato:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Reemplaza [PROJECT_ID] por el ID del proyecto que deseas usar.
En la página Desarrollo de la marca, proporciona la información de desarrollo de la marca de tu app, incluidos el nombre, el logotipo, la información de contacto del desarrollador y los vínculos pertinentes. Todos los cambios que realices se guardarán como Borrador de desarrollo de la marca.
Haz clic en el botón Verificar desarrollo de la marca para iniciar el proceso de evaluación. Por lo general, la revisión automática se completa en unos minutos.
Una vez que se complete la evaluación, revisa el estado. Si se realiza de forma correcta, el estado cambiará a Listo para publicar. Si la verificación automática falla, puedes ver los problemas detectados y corregirlos o solicitar una revisión manual.
Haz clic en el botón Publicar desarrollo de la marca para que se publique el nuevo desarrollo de la marca.
Si tu app también requiere verificación para permisos sensibles o restringidos, navega al Centro de verificación de OAuth para hacer un seguimiento del estado de acceso a los datos y proporcionar cualquier información adicional que se solicite, como un video de demostración. Ten en cuenta que debes tener un estado de información de la marca publicada antes de poder solicitar la verificación para el acceso a los datos.
Usa el botón Agregar o quitar permisos para declarar todos los permisos que solicita tu app. En la sección Permisos no sensibles, se precompleta un conjunto inicial de permisos necesarios para el Acceso con Google. Los permisos agregados se clasifican como no sensibles, sensibles o restringidos.
Proporciona hasta tres vínculos a cualquier documentación relevante para las funciones relacionadas de tu app.
Proporciona cualquier información adicional que se solicite sobre tu app en los pasos siguientes.
- Asegúrate de que tu app cumpla con los Requisitos adicionales para permisos de APIs específicos, lo que incluye someterse a una evaluación de seguridad anual si tu app accede a datos de usuarios de Google con permisos restringidos desde un servidor de terceros o a través de él.
- Asegúrate de que tu app sea uno de los tipos permitidos que se especifican en la sección Uso limitado de la página Requisitos adicionales para permisos de API específicos.
- Si tu app es una plataforma de automatización de tareas, el video de demostración debe mostrar cómo se crean y automatizan varios flujos de trabajo de la API, y en qué direcciones fluyen los datos del usuario.
- Prepara un video que demuestre por completo cómo un usuario inicia y otorga acceso a los permisos solicitados y que muestre, en detalle, el uso de los permisos sensibles y restringidos otorgados en la app. Sube el video a YouTube Studio y establece la Visibilidad como No listado. Debes
proporcionar un vínculo al video de demostración en el campo de vínculo de YouTube.
- Muestra el proceso de otorgamiento de OAuth que experimentarán los usuarios, en inglés. Esto incluye el flujo de consentimiento y, si usas el Acceso con Google, el flujo de acceso.
- Demuestra que la pantalla de consentimiento de OAuth muestra correctamente el nombre de la app.
- Muestra que la barra de direcciones del navegador de la pantalla de consentimiento de OAuth incluye correctamente el ID de cliente de OAuth de tu app.
- Para mostrar cómo se usarán los datos, demuestra la funcionalidad que habilita cada permiso sensible y restringido que solicitas.
- Si usas varios clientes y, por lo tanto, tienes varios IDs de cliente de OAuth, muestra cómo se accede a los datos en cada cliente de OAuth.
- Selecciona el tipo de aplicación permitido en la lista "¿Qué funciones usarás?".
- Describe cómo usarás los permisos restringidos en tu app y por qué no son suficientes los permisos más limitados.
Después de publicar tu desarrollo de la marca o enviar una solicitud de acceso a los datos, el equipo de Confianza y Seguridad de Google puede comunicarse contigo por correo electrónico para solicitarte información adicional o indicarte los pasos que debes completar. Revisa tus direcciones de correo electrónico en la sección Información de contacto del desarrollador y el correo electrónico de asistencia de tu pantalla de consentimiento de OAuth para ver si hay solicitudes de información adicional. También puedes consultar las páginas de desarrollo de la marca o del centro de verificación de tu proyecto para confirmar su estado de revisión actual, incluido si el proceso de revisión está en pausa mientras esperamos tu respuesta.
Excepciones a los requisitos de verificación
Si tu app se usará en alguna de las situaciones que se describen en las siguientes secciones, no es necesario que la envíes para su revisión.
Uso personal
Un caso de uso es si eres el único usuario de tu app o si solo la usan unos pocos usuarios, todos los cuales conoces personalmente. Es posible que tú y tu cantidad limitada de usuarios se sientan cómodos con avanzar por la pantalla de app no verificada y otorgar acceso a tus cuentas personales a tu app.
Proyectos que se usan en los niveles de desarrollo, pruebas o etapa de pruebas
Para cumplir con las políticas de OAuth 2.0 de Google, te recomendamos que tengas diferentes proyectos para los entornos de prueba y producción. Te recomendamos que solo envíes tu app para su verificación si quieres que esté disponible para cualquier usuario que tenga una Cuenta de Google. Por lo tanto, si tu app está en las fases de desarrollo, prueba o etapa de pruebas, no se requiere la verificación.
Si tu app está en las fases de desarrollo o prueba, puedes dejar el Estado de publicación en la configuración predeterminada de Prueba. Este parámetro de configuración significa que tu app todavía está en desarrollo y solo está disponible para los usuarios que agregues a la lista de usuarios de prueba. Debes administrar la lista de Cuentas de Google que participan en el desarrollo o las pruebas de tu app.
Solo datos que pertenecen al servicio
Si tu app usa una cuenta de servicio para acceder solo a sus propios datos y no accede a ningún dato del usuario (vinculado a una Cuenta de Google), no es necesario que la envíes para su verificación.
Para comprender qué son las cuentas de servicio, consulta Cuentas de servicio en la documentación de Google Cloud. Para obtener instrucciones sobre cómo usar una cuenta de servicio, consulta Usa OAuth 2.0 para aplicaciones de servidor a servidor.
Solo para uso interno
Esto significa que solo las personas de tu organización de Google Workspace o Cloud Identity usan la app. La organización debe ser propietaria del proyecto, y su pantalla de consentimiento de OAuth debe estar configurada para un tipo de usuario interno. En este caso, es posible que tu app necesite la aprobación de un administrador de la organización. Para obtener más información, consulta Consideraciones adicionales para Google Workspace.
- Obtén más información sobre las aplicaciones internas y públicas.
- Obtén información para marcar tu app como interna en la sección de preguntas frecuentes ¿Cómo puedo marcar mi app como solo para uso interno?
Instalación en todo el dominio
Si planeas que tu app solo se oriente a usuarios de una organización de Google Workspace o Cloud Identity y siempre use la instalación en todo el dominio, tu app no requerirá la verificación de marca. Sin embargo, si tu app utiliza permisos restringidos o sensibles, se requiere la verificación de la app. Esto se debe a que una instalación en todo el dominio permite que un administrador de dominio otorgue acceso a los datos de tus usuarios a aplicaciones internas y de terceros. Los administradores de la organización son las únicas cuentas que pueden agregar la app a una lista de entidades permitidas para usarla en sus dominios.
Obtén información para que tu app sea una instalación para todo el dominio en las Preguntas frecuentes Mi aplicación tiene usuarios con cuentas empresariales de otro dominio de Google Workspace.