Belirli Google API'leri (Hassas veya Kısıtlanmış kapsamları kabul edenler), tüketici verilerine erişim izni isteyen uygulamalar için şartlar içerir. Kısıtlanmış kapsamlarla ilgili bu ek şartlar, uygulamanın izin verilen bir uygulama türü olduğunu kanıtlamasını ve olası bir güvenlik değerlendirmesi de dahil olmak üzere ek incelemelere tabi tutulmasını gerektirir.
Bir API'deki kısıtlanmış kapsamların uygulanabilirliği, çoğunlukla uygulamanızda ilgili bir özelliği sağlamak için gereken erişim düzeyine (salt okuma, salt yazma, okuma ve yazma vb.) bağlıdır.
Bu verilere erişmek için bir Google Hesabı'ndan izin almak üzere OAuth 2.0'ı kullandığınızda, erişmek istediğiniz veri türünü ve ne kadar erişime ihtiyacınız olduğunu belirtmek için kapsamlar adı verilen dizeleri kullanırsınız. Uygulamanız hassas veya kısıtlanmış kapsamlar istiyorsa uygulamanızın kullanımı istisna kapsamına girmediği sürece doğrulama sürecini tamamlamanız gerekir.
Kısıtlanmış kapsamların sayısı, hassas kapsamlara kıyasla daha azdır. OAuth API Doğrulaması SSS sayfasında, hassas ve kısıtlanmış kapsamların güncel listesi yer alır. Bu kapsamlar, Google kullanıcı verilerine geniş erişim sağlar ve herhangi bir Google Hesabı'ndan kapsamları istemeden önce kapsam doğrulama sürecinden geçmenizi gerektirir. Bu şartla ilgili bilgi için Google API Hizmetleri Kullanıcı Verileri Politikası ve Belirli API kapsamları için ek şartlar veya ürüne özel Google Developer sayfasını inceleyin. Kısıtlanmış kapsam verilerini sunucularda depoluyor veya aktarıyorsanız güvenlik değerlendirmesini tamamlamanız gerekir.
Kısıtlanmış kapsamları anlama
Uygulamanız kısıtlanmış kapsamlar istiyorsa ve istisna için uygun değilse Google API Hizmetleri Kullanıcı Verileri Politikası'nın Belirli API kapsamları için ek şartlar bölümünü veya ürünün Google Developer sayfasındaki ürüne özel şartları karşılamanız gerekir. Bu durumda daha kapsamlı bir inceleme süreci uygulanır.
Kapsam kullanımınızı anlama
- Uygulamanızın kullandığı veya kullanmak istediğiniz kapsamları inceleyin. Mevcut kapsam kullanımınızı bulmak için uygulamanızın kaynak kodunda yetkilendirme istekleriyle gönderilen kapsamları inceleyin.
- İstenen her kapsamın, uygulama özelliğinizin amaçlanan işlemleri için gerekli olduğunu ve özelliği sağlamak için gereken en az ayrıcalığı kullandığını belirleyin. Google API'lerinin genellikle ürünün Google Developer sayfasında uç noktalarıyla ilgili referans dokümanları bulunur. Bu dokümanlarda, uç noktayı veya içindeki belirli özellikleri çağırmak için gereken kapsam yer alır. Uygulamanızın çağırdığı API uç noktaları için gerekli erişim kapsamları hakkında daha fazla bilgi edinmek isterseniz bu uç noktaların referans belgelerini okuyun. Örneğin, yalnızca Gmail API'lerini kullanarak zaman zaman kullanıcı adına e-posta gönderen bir uygulama için kullanıcının e-posta verilerine tam erişim sağlayan kapsamı istemeyin.
- Google API'lerinden aldığınız veriler yalnızca API'nin politikalarına uygun şekilde ve uygulamanızın işlemlerinde ve gizlilik politikanızda kullanıcılarınıza belirttiğiniz şekilde kullanılmalıdır.
- Her bir kapsam hakkında daha fazla bilgi edinmek için API belgelerine bakın. Bu belgelerde, kapsamın potansiyel hassas veya kısıtlanmış durumu da yer alır.
- Uygulamanız tarafından kullanılan tüm kapsamları Cloud Console'un Veri Erişimi sayfasında beyan edin. Belirttiğiniz kapsamlar, gereken ek doğrulamaları vurgulamak için hassas veya kısıtlanmış kategoriler halinde gruplandırılır.
- Entegrasyonunuz tarafından kullanılan verilere uyan en iyi kapsamı bulun, kullanımını anlayın, her şeyin test ortamında hâlâ çalıştığını yeniden onaylayın ve ardından doğrulama için göndermeye hazırlanın.
Uygulamanızın veya yeni bir kapsam gerektiren yeni özelliklerin lansman planına, doğrulama işlemini tamamlamak için gereken süreyi eklediğinizden emin olun. Bu ek şartlardan biri, uygulamanın bir sunucudan veya sunucu aracılığıyla Google kullanıcı verilerine erişmesi ya da erişme imkanına sahip olması durumunda geçerli olur. Bu gibi durumlarda sistem, Google tarafından onaylanmış bağımsız bir üçüncü taraf değerlendirme uzmanı tarafından yıllık güvenlik değerlendirmesine tabi tutulmalıdır. Bu nedenle, kısıtlanmış kapsamlar doğrulama sürecinin tamamlanması birkaç hafta sürebilir. Son onaylanan OAuth kullanıcı rızası ekranı doğrulamasından sonra marka bilgileri değiştiyse tüm uygulamaların öncelikle marka doğrulama adımını tamamlaması gerekir. Bu adım genellikle 2-3 iş günü sürer.
İzin verilen uygulama türleri
Belirli uygulama türleri, her ürün için kısıtlanmış kapsamlara erişebilir. Uygulama türlerini ürüne özel Google Developers sayfasında (ör. Gmail API Politikası) bulabilirsiniz.
Başvuru türünüzü anlamak ve belirlemek sizin sorumluluğunuzdadır. Ancak uygulamanızın uygulama türünden gerçekten emin değilseniz uygulamayı doğrulama için gönderirken Hangi özellikleri kullanacaksınız? sorusu için hiçbir seçenek belirlemeyebilirsiniz. Ardından Google API'leri doğrulama ekibi, uygulama türünü belirler.
Güvenlik değerlendirmesi
Google kullanıcılarının kısıtlanmış verilerine erişim isteyen ve üçüncü taraf sunuculardan veya sunucular aracılığıyla verilere erişebilen her uygulamanın, Google tarafından yetkilendirilmiş güvenlik denetçilerinin güvenlik değerlendirmesinden geçmesi gerekir. Bu değerlendirme, Google kullanıcı verilerine erişen tüm uygulamaların verileri güvenli bir şekilde işleyebildiğini ve kullanıcının isteği üzerine kullanıcı verilerini silebildiğini doğrulayarak Google kullanıcılarının verilerinin güvende kalmasına yardımcı olur.
Güvenlik değerlendirmemizi standartlaştırmak için App Defense Alliance ve Bulut Uygulama Güvenliği Değerlendirmesi çerçevesini (CASA) kullanıyoruz.
Daha önce de belirtildiği gibi, doğrulanmış kısıtlanmış kapsamlara erişimi sürdürmek için uygulamaların, değerlendirme uzmanınızın Değerlendirme Mektubu (LOA) onay tarihinden sonra en az 12 ayda bir uyumluluk açısından yeniden doğrulanması ve güvenlik değerlendirmesini tamamlaması gerekir. Uygulamanız yeni bir kısıtlanmış kapsam eklerse önceki bir güvenlik değerlendirmesine dahil edilmemiş ek kapsamı kapsayacak şekilde yeniden değerlendirilmesi gerekebilir.
Uygulamanızı yeniden sertifikalandırma zamanı geldiğinde Google inceleme ekibi size e-posta gönderir. Ekibinizdeki doğru üyelerin bu yıllık yaptırımdan haberdar olmasını sağlamak için Cloud Console projenizle Sahip veya Düzenleyici olarak ek Google Hesapları ilişkilendirin. Ayrıca Google Cloud Console OAuth Markalama sayfasında belirtilen kullanıcı desteği ve geliştirici iletişim e-postalarının güncel tutulmasına da yardımcı olur.
Doğrulamaya hazırlanma adımları
Verilere erişim istemek için Google API'lerini kullanan tüm uygulamaların marka doğrulamasını tamamlamak için aşağıdaki adımları uygulaması gerekir:
- Uygulamanızın, Doğrulama şartlarıyla ilgili istisnalar bölümündeki kullanım alanlarından hiçbirine girmediğini onaylayın.
- Uygulamanızın, ilişkili API'lerin veya ürünün markalarla ilgili koşullarına uyduğundan emin olun. Örneğin, Google ile Oturum Açma kapsamlarıyla ilgili markalama kurallarına göz atın.
- Google Search Console'da projenizin yetkili alanlarının sahibi olduğunuzu doğrulayın. API Konsolu projenizle Sahip veya Düzenleyici olarak ilişkilendirilmiş bir Google Hesabı kullanın.
- OAuth kullanıcı rızası ekranındaki tüm marka bilgilerinin (ör. uygulama adı, destek e-postası, ana sayfa URI'si, gizlilik politikası URI'si vb.) uygulamanın kimliğini doğru şekilde yansıttığından emin olun.
Uygulama ana sayfası koşulları
Ana sayfanızın aşağıdaki koşulları karşıladığından emin olun:
- Ana sayfanız yalnızca sitenize giriş yapmış kullanıcılar tarafından değil, herkes tarafından erişilebilir olmalıdır.
- Ana sayfanızın, incelenen uygulamayla olan ilgisi net olmalıdır.
- Uygulamanızın Google Play Store'daki girişine veya Facebook sayfasına yönlendiren bağlantılar, geçerli uygulama ana sayfaları olarak kabul edilmez.
Uygulama gizlilik politikası bağlantısı şartları
Uygulamanızın gizlilik politikasının aşağıdaki şartları karşıladığından emin olun:
- Gizlilik politikası, kullanıcılar tarafından görülebilmeli, uygulamanızın ana sayfasıyla aynı alanda barındırılmalı ve Google API Konsolu'nun OAuth kullanıcı rızası ekranında bağlantısı verilmelidir. Ana sayfada uygulamanın işlevinin açıklamasının yanı sıra gizlilik politikası ve isteğe bağlı hizmet şartları bağlantılarının bulunması gerektiğini unutmayın.
- Gizlilik politikasında, uygulamanızın Google kullanıcı verilerine nasıl eriştiği, bu verileri nasıl kullandığı, sakladığı veya paylaştığı açıklanmalıdır. Gizlilik politikası, Google API Hizmetleri Kullanıcı Verileri Politikası'na ve kısıtlanmış kapsamlar için Sınırlı Kullanım şartlarına uygun olmalıdır. Google kullanıcı verilerini yalnızca yayınlanan gizlilik politikanızda açıklanan uygulamalar için kullanmanız gerekir.
- Sınırlı Kullanım şartlarını karşılamayan gizlilik politikalarıyla ilgili örnek durumları inceleyin.
Uygulamanızı marka doğrulaması için gönderme
Google Cloud Console projesi, tüm Cloud Console kaynaklarınızı düzenler. Proje; proje işlemlerini gerçekleştirme iznine sahip bir dizi ilişkili Google Hesabı, bir dizi etkin API ve bu API'ler için faturalandırma, kimlik doğrulama ve izleme ayarlarından oluşur. Örneğin, bir proje bir veya daha fazla OAuth istemcisi içerebilir, API'leri bu istemciler tarafından kullanılacak şekilde yapılandırabilir ve kullanıcılar uygulamanıza erişim yetkisi vermeden önce gösterilecek bir OAuth kullanıcı rızası ekranı yapılandırabilir.
OAuth istemcilerinizden herhangi biri üretime hazır değilse bunları doğrulama isteyen projeden silmenizi öneririz. Bunu Müşteriler sayfasında yapabilirsiniz.
Doğrulama için göndermek üzere aşağıdaki adımları uygulayın:
- Uygulamanızın Google API'leri Hizmet Şartları'na ve Google API Hizmetleri Kullanıcı Verileri Politikası'na uygun olduğundan emin olun.
- Projenizin ilişkili hesaplarının sahip ve düzenleyici rollerini, OAuth kullanıcı rızası ekranınızın kullanıcı destek e-postasını ve geliştirici iletişim bilgilerini Cloud Console'da güncel tutun. Bu sayede, ekibinizdeki doğru üyeler yeni şartlar hakkında bilgilendirilir.
- Cloud Console OAuth Markalama sayfasına gidin.
- Proje seçici düğmesini tıklayın.
Açılan Seçim yapın iletişim kutusunda projenizi seçin. Projenizi bulamıyor ancak proje kimliğinizi biliyorsanız tarayıcınızda aşağıdaki biçimde bir URL oluşturabilirsiniz:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
[PROJECT_ID] yerine kullanmak istediğiniz proje kimliğini yazın.
Markalama sayfasında uygulamanızın markalama bilgilerini (uygulama adı, logo, geliştirici iletişim bilgileri ve ilgili bağlantılar) girin. Yaptığınız değişiklikler Marka bilinci oluşturma taslağı olarak kaydedilir.
Değerlendirme sürecini başlatmak için Marka Öğelerini Doğrula düğmesini tıklayın. Otomatik inceleme genellikle birkaç dakika içinde tamamlanır.
Değerlendirme tamamlandıktan sonra durumu inceleyin. İşlem başarılı olursa durum Yayınlanmaya hazır olarak değişir. Otomatik doğrulama başarısız olursa tespit edilen sorunları görebilir ve bunları düzeltebilir ya da manuel inceleme isteğinde bulunabilirsiniz.
Yeni markalamayı yayınlamak için Markalamayı yayınla düğmesini tıklayın.
Uygulamanız hassas veya kısıtlanmış kapsamlar için de doğrulama gerektiriyorsa OAuth Doğrulama Merkezi'ne giderek Veri erişim durumunuzu takip edin ve tanıtım videosu gibi istenen ek bilgileri sağlayın. Veri erişimi için doğrulama isteğinde bulunmadan önce yayınlanmış bir marka bilinci oluşturma durumunuzun olması gerektiğini unutmayın.
Uygulamanızın istediği tüm kapsamları bildirmek için Kapsam ekle veya kaldır düğmesini kullanın. Google ile Oturum Açma için gerekli olan ilk kapsam grubu, Hassas olmayan kapsamlar bölümünde önceden doldurulur. Eklenen kapsamlar hassas olmayan, hassas veya kısıtlanmış olarak sınıflandırılır.
Uygulamanızdaki ilgili özelliklerle alakalı belgeler için en fazla üç bağlantı sağlayın.
Sonraki adımlarda uygulamanızla ilgili istenen ek bilgileri sağlayın.
- Uygulamanızın, Belirli API kapsamları için ek şartlar'a uyduğundan emin olun. Uygulamanız, kısıtlanmış kapsamdaki Google kullanıcılarının verilerine üçüncü taraf sunucusundan veya sunucusu aracılığıyla erişiyorsa yıllık güvenlik değerlendirmesinden geçmesi de bu şartlar arasındadır.
- Uygulamanızın, Belirli API kapsamları için ek şartlar sayfasının Sınırlı Kullanım bölümünde belirtilen izin verilen türlerden biri olduğundan emin olun.
- Uygulamanız bir görev otomasyonu platformuysa tanıtım videonuzda birden fazla API iş akışının nasıl oluşturulup otomatikleştirildiği ve kullanıcı verilerinin hangi yönlerde aktarıldığı gösterilmelidir.
- Kullanıcının istenen kapsamlar için erişimi nasıl başlattığını ve verdiğini tam olarak gösteren ve verilen hassas ve kısıtlanmış kapsamların uygulamadaki kullanımını ayrıntılı olarak gösteren bir video hazırlayın. Videoyu YouTube Studio'ya yükleyin ve Görünürlük'ü Liste dışı olarak ayarlayın. YouTube bağlantısı alanına tanıtım videosunun bağlantısını eklemeniz gerekir.
- Kullanıcıların deneyimleyeceği OAuth erişim izni sürecini İngilizce olarak gösterin. Buna izin akışı ve Google ile Oturum Açma'yı kullanıyorsanız oturum açma akışı dahildir.
- OAuth kullanıcı rızası ekranında uygulama adının doğru şekilde gösterildiğini belirtin.
- OAuth kullanıcı rızası ekranının tarayıcı adres çubuğunda uygulamanızın OAuth istemci kimliğinin doğru şekilde yer aldığını gösterin.
- Verilerin nasıl kullanılacağını göstermek için, istediğiniz her hassas ve kısıtlanmış kapsam tarafından etkinleştirilen işlevi gösterin.
- Birden fazla istemci kullanıyorsanız ve bu nedenle birden fazla OAuth istemci kimliğiniz varsa her bir OAuth istemcisinde verilere nasıl erişildiğini gösterin.
- "Hangi özellikleri kullanacaksınız?" listesinden izin verilen uygulama türünüzü seçin.
- Uygulamanızda kısıtlanmış kapsamları nasıl kullanacağınızı ve daha sınırlı kapsamların neden yeterli olmadığını açıklayın.
Markanızı yayınladıktan veya veri erişimi isteği gönderdikten sonra Google'ın Güven ve Güvenlik Ekibi, ihtiyaç duyduğu ek bilgileri veya tamamlamanız gereken adımları e-posta yoluyla iletebilir. Ek bilgi istekleri için Geliştirici iletişim bilgileri bölümündeki e-posta adreslerinizi ve OAuth kullanıcı rızası ekranınızın destek e-posta adresini kontrol edin. Projenizin mevcut inceleme durumunu (yanıtınızı beklerken inceleme sürecinin duraklatılıp duraklatılmadığı dahil) onaylamak için projenizin Markalama veya Doğrulama Merkezi sayfalarını da görüntüleyebilirsiniz.
Doğrulama şartlarıyla ilgili istisnalar
Uygulamanız aşağıdaki bölümlerde açıklanan senaryolardan herhangi birinde kullanılacaksa incelemeye göndermeniz gerekmez.
Kişisel kullanım
Uygulamanızın tek kullanıcısı sizseniz veya uygulamanız yalnızca birkaç kullanıcı tarafından kullanılıyorsa ve bu kullanıcıların tümünü şahsen tanıyorsanız bu yöntemi kullanabilirsiniz. Siz ve sınırlı sayıdaki kullanıcılarınız, doğrulanmamış uygulama ekranında ilerleyip kişisel hesaplarınıza uygulamanıza erişim izni vermeyi tercih edebilirsiniz.
Geliştirme, Test veya Hazırlık katmanlarında kullanılan projeler
Google OAuth 2.0 politikalarına uymak için test ve üretim ortamlarında farklı projeler kullanmanızı öneririz. Uygulamanızı yalnızca Google Hesabı olan tüm kullanıcıların kullanımına sunmak istiyorsanız doğrulama için göndermenizi öneririz. Bu nedenle, uygulamanız geliştirme, test veya hazırlık aşamalarındaysa doğrulama gerekmez.
Uygulamanız geliştirme veya test aşamasındaysa Yayınlama Durumu'nu varsayılan ayar olan Test olarak bırakabilirsiniz. Bu ayar, uygulamanızın hâlâ geliştirme aşamasında olduğu ve yalnızca test kullanıcıları listesine eklediğiniz kullanıcılar tarafından kullanılabileceği anlamına gelir. Uygulamanızın geliştirme veya test sürecinde yer alan Google Hesaplarının listesini yönetmeniz gerekir.
Yalnızca hizmete ait veriler
Uygulamanız yalnızca kendi verilerine erişmek için bir hizmet hesabı kullanıyorsa ve hiçbir kullanıcı verisine (bir Google Hesabı'na bağlı) erişmiyorsa doğrulama için göndermeniz gerekmez.
Hizmet hesaplarının ne olduğunu anlamak için Google Cloud belgelerindeki Hizmet hesapları bölümüne bakın. Hizmet hesabı kullanma talimatları için Sunucudan sunucuya uygulamalar için OAuth 2.0'ı kullanma başlıklı makaleyi inceleyin.
Yalnızca dahili kullanım
Bu, uygulamanın yalnızca Google Workspace veya Cloud Identity kuruluşunuzdaki kişiler tarafından kullanıldığı anlamına gelir. Projenin sahibi kuruluş olmalı ve OAuth kullanıcı rızası ekranı, Dahili kullanıcı türü için yapılandırılmalıdır. Bu durumda, uygulamanızın bir kuruluş yöneticisinden onay alması gerekebilir. Daha fazla bilgi için Google Workspace için ek hususlar başlıklı makaleyi inceleyin.
- Herkese açık ve dahili uygulamalar hakkında daha fazla bilgi edinin.
- Uygulamanızı nasıl dahili olarak işaretleyeceğinizi SSS bölümündeki Uygulamamı nasıl yalnızca dahili olarak işaretleyebilirim? sorusundan öğrenebilirsiniz.
Alan genelinde yükleme
Uygulamanızın yalnızca bir Google Workspace veya Cloud Identity kuruluşunun kullanıcılarını hedeflemesini ve her zaman alan genelinde yükleme kullanmasını planlıyorsanız uygulamanız için marka doğrulaması gerekmez. Ancak uygulamanız kısıtlanmış veya hassas kapsamlar kullanıyorsa uygulama doğrulaması gerekir. Bunun nedeni, alan genelinde yüklemenin, alan yöneticisinin üçüncü taraf ve dahili uygulamalara kullanıcılarınızın verilerine erişim izni vermesine olanak tanımasıdır. Uygulamayı alanlarında kullanılmak üzere izin verilenler listesine yalnızca kuruluş yöneticileri ekleyebilir.
Uygulamanızı nasıl alan genelinde yükleme yapacağınızı Uygulamamda başka bir Google Workspace alanından kurumsal hesabı olan kullanıcılar var başlıklı SSS bölümünden öğrenebilirsiniz.