Verifica dell'ambito sensibile

Se la tua app richiede l'autorizzazione per utilizzare le API di Google per accedere ai dati degli utenti di Google, potresti dover completare una procedura di verifica prima di rendere la tua app disponibile pubblicamente per la prima volta.

L'applicazione di questo requisito alla tua app dipende principalmente da due fattori:

1. Il tipo di dati utente a cui accedi: informazioni del profilo pubblico, voci del calendario, file su Drive, determinati dati relativi a salute e fitness e così via.
2. Il livello di accesso di cui hai bisogno: di sola lettura, di lettura e scrittura e così via.

Quando utilizzi OAuth 2.0 per ottenere l'autorizzazione di un Account Google ad accedere ai suoi dati, utilizzi stringhe chiamate ambiti per specificare il tipo di dati a cui vuoi accedere per suo conto. Se la tua app richiede ambiti classificati come sensibili o con restrizioni, probabilmente dovrai completare la procedura di verifica, a meno che l'utilizzo della tua app non rientri nei casi che danno diritto a un'eccezione.

Alcuni esempi di ambiti sensibili sono la lettura di eventi archiviati in Google Calendar, la memorizzazione di un nuovo contatto in Contatti Google o l'eliminazione di un video di YouTube. Per ulteriori informazioni sugli ambiti disponibili e sulle relative classificazioni, consulta la documentazione di riferimento degli endpoint API chiamati dalla tua app e qualsiasi guida all'autorizzazione correlata pubblicata per l'API.

Devi richiedere ambiti che richiedono il minor accesso possibile ai dati utente necessari per fornire la funzionalità. Ad esempio, un'app che legge solo i dati non deve richiedere l'accesso in lettura, scrittura ed eliminazione dei contenuti quando è disponibile un ambito più ristretto per l'API e i relativi endpoint. I dati che ricevi da un'API Google devono essere utilizzati solo in conformità con le norme dell'API e nel modo in cui li rappresenti agli utenti nelle azioni dell'app e nelle tue norme sulla privacy.

Assicurati di tenere conto del tempo necessario per completare la verifica nel piano di lancio della tua app o di eventuali nuove funzionalità che richiedono un nuovo ambito. La procedura di verifica dell'ambito sensibile richiede solitamente 3-5 giorni lavorativi. Tieni presente che la tua app potrebbe essere idonea per completare la verifica del brand come sottoinsieme della richiesta di verifica dell'ambito sensibile.

Informazioni sugli ambiti sensibili

Gli ambiti sensibili richiedono la revisione da parte di Google prima che qualsiasi Account Google possa concedere l'accesso. Gli amministratori delle organizzazioni Google Workspace potrebbero limitare l'accesso agli ambiti sensibili per impedire l'accesso tramite ID client OAuth che l'organizzazione non contrassegni esplicitamente come attendibili.

Informazioni sull'utilizzo dell'ambito

• Esamina gli ambiti che la tua app utilizza o che vuoi utilizzare. Per trovare l'utilizzo degli ambiti esistenti, esamina il codice sorgente dell'app per verificare la presenza di ambiti inviati con le richieste di autorizzazione.
• Verifica che ogni ambito richiesto sia necessario per le azioni previste della funzionalità dell'app e che utilizzi il privilegio minimo necessario per fornire la funzionalità. Un'API Google in genere ha la documentazione di riferimento per i relativi endpoint nella Pagina Google per gli sviluppatori del prodotto, che include l'ambito necessario per chiamare l'endpoint o proprietà specifiche al suo interno. Per ulteriori informazioni sugli ambiti di accesso necessari per gli endpoint API chiamati dalla tua app, leggi la documentazione di riferimento di questi endpoint.
• I dati che ricevi da un'API Google devono essere utilizzati solo in conformità con le norme dell'API e nel modo in cui li rappresenti agli utenti nelle azioni dell'app e nelle tue norme sulla privacy.
• Consulta la documentazione dell'API per scoprire di più su ogni ambito, incluso il suo potenziale stato sensitive or restricted .
• Dichiara tutti gli ambiti utilizzati dalla tua app nel di . Gli ambiti specificati sono raggruppati in categorie sensibili o con limitazioni per evidenziare eventuali verifiche aggiuntive richieste.
• Trova l'ambito migliore che corrisponda ai dati utilizzati dall'integrazione, comprendine l'utilizzo, conferma che tutto funzioni ancora in un ambiente di test e poi preparati a inviare la richiesta di verifica.

Passaggi per prepararsi alla verifica

Tutte le app che utilizzano le API di Google per richiedere l'accesso ai dati devono eseguire i seguenti passaggi per completare la verifica del brand:

1. Verifica che la tua app non rientri in nessuno dei casi d'uso indicati nella sezione Eccezione ai requisiti di verifica.
2. Assicurati che la tua app sia conforme ai requisiti di branding delle API o del prodotto associati. Ad esempio, consulta le linee guida per il branding per gli ambiti di Accedi con Google.
3. Verifica la proprietà dei domini autorizzati del tuo progetto in Google Search Console. Utilizza un Account Google associato al tuo API Console progetto come proprietario o editor.
4. Assicurati che tutte le informazioni sul branding nella schermata per il consenso OAuth, ad esempio il nome dell'app, l'email dell'assistenza, l'URI della home page, l'URI delle norme sulla privacy e così via, rappresentino con precisione l'identità dell'app.

Requisiti della home page dell'applicazione

Assicurati che la tua home page soddisfi i seguenti requisiti:

• La home page deve essere accessibile pubblicamente e non solo agli utenti che hanno eseguito l'accesso al tuo sito.
• La pertinenza della home page all'app in fase di revisione deve essere chiara.
• I link alla scheda della tua app sul Google Play Store o alla sua pagina Facebook non sono considerati come pagine iniziali dell'applicazione valide.

Requisiti per il link alle norme sulla privacy dell'applicazione

Assicurati che le norme sulla privacy della tua app soddisfino i seguenti requisiti:

• Le norme sulla privacy devono essere visibili agli utenti, ospitate nello stesso dominio della home page dell'applicazione e collegate alla schermata per il consenso OAuth del Google API Console. Tieni presente che la home page deve includere una descrizione della funzionalità dell'app, nonché link alle norme sulla privacy e ai Termini di servizio facoltativi.
• Le norme sulla privacy devono indicare la modalità in cui l'applicazione accede, utilizza, immagazzina o condivide i dati utente di Google. Devi limitare l'utilizzo dei dati utente di Google alle prassi descritte nelle tue norme sulla privacy pubblicate.

Come inviare l'app per la verifica

Un progetto organizza tutte le tue risorse. Un progetto è composto da un insieme di Account Google associati che hanno l'autorizzazione per eseguire operazioni del progetto, un insieme di API abilitate e impostazioni di fatturazione, autenticazione e monitoraggio per queste API. Ad esempio, un progetto può contenere uno o più client OAuth, configurare le API per l'utilizzo da parte di questi client e configurare una schermata di consenso OAuth che viene mostrata agli utenti prima che autorizzino l'accesso alla tua app.

Se uno dei tuoi client OAuth non è pronto per la produzione, ti consigliamo di eliminarlo dal progetto che richiede la verifica. Puoi farlo in .

Per richiedere la verifica:

1. Assicurati che la tua app sia conforme ai Termini di servizio delle API di Google e alle Norme relative ai dati utente dei servizi API di Google.
2. Mantieni aggiornati i ruoli di proprietario ed editor degli account associati al tuo progetto, nonché l'email per l'assistenza utente e i dati di contatto dello sviluppatore della schermata del consenso OAuth in . In questo modo, i membri corretti del tuo team riceveranno una notifica di eventuali nuovi requisiti.
3. Vai ad OAuth .
4. Fai clic sul pulsante Selettore progetti.

5. Nella finestra di dialogo Seleziona da visualizzata, seleziona il tuo progetto. Se non riesci a trovare il tuo progetto, ma conosci il relativo ID, puoi creare un URL nel browser nel seguente formato:

   ?project=[PROJECT_ID]

   Sostituisci [PROJECT_ID] con l'ID progetto che vuoi utilizzare.

6. Seleziona il pulsante Modifica app.
7. Inserisci le informazioni necessarie nella pagina della schermata per il consenso OAuth, quindi seleziona il pulsante Salva e continua.
8. Utilizza il pulsante Aggiungi o rimuovi ambiti per dichiarare tutti gli ambiti richiesti dalla tua app. Un insieme iniziale di ambiti necessari per Accedi con Google è precompilato nella sezione Ambiti non sensibili. Gli ambiti aggiunti sono classificati come non sensibili, sensitive, or restricted.
9. Fornisci fino a tre link a documentazione pertinente per le funzionalità correlate nella tua app.

10. Fornisci eventuali informazioni aggiuntive richieste sulla tua app nei passaggi successivi.

    1. Prepare a detailed justification for each requested sensitive scope, as well as an explanation for why a narrower scope isn't sufficient. For example: "My app will use https://www.googleapis.com/auth/calendar to show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar."

    2. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
11. Se la configurazione dell'app che fornisci richiede la verifica, hai la possibilità di inviare l'app per la verifica. Compila i campi obbligatori e poi fai clic su Invia per avviare la procedura di verifica.

Dopo che hai inviato l'app, il team Trust & Safety di Google ti riconta via email per fornirti eventuali informazioni aggiuntive di cui ha bisogno o i passaggi da completare. Controlla i tuoi indirizzi email nella sezione Informazioni di contatto per gli sviluppatori e l'indirizzo email dell'assistenza della schermata per il consenso OAuth per eventuali richieste di informazioni aggiuntive. Puoi anche visualizzare la pagina della schermata per il consenso OAuth del progetto per confermare lo stato attuale della revisione, ad esempio se la procedura di revisione è in pausa in attesa della tua risposta.

Eccezioni ai requisiti di verifica

Se la tua app verrà utilizzata in uno degli scenari descritti nelle sezioni seguenti, non è necessario inviarla per la revisione.

Utilizzo personale

Un caso d'uso è se sei l'unico utente della tua app o se la tua app viene utilizzata solo da pochi utenti, tutti personalmente noti. Tu e il tuo numero limitato di utenti potreste essere in grado di procedere oltre la schermata dell'app non verificata e concedere ai tuoi account personali l'accesso alla tua app.

Progetti utilizzati nei livelli di sviluppo, test o staging

Per rispettare i criteri Google OAuth 2.0, ti consigliamo di avere progetti diversi per gli ambienti di test e di produzione. Ti consigliamo di inviare la tua app per la verifica solo se vuoi renderla disponibile a qualsiasi utente con un Account Google. Pertanto, se la tua app è in fase di sviluppo, test o gestione temporanea, la verifica non è obbligatoria.

Se la tua app è in fase di sviluppo o di test, puoi lasciare Stato pubblicazione impostato sull'impostazione predefinita Test. Questa impostazione indica che la tua app è ancora in fase di sviluppo ed è disponibile soltanto per gli utenti che aggiungi all'elenco di utenti di test. Devi gestire l'elenco degli Account Google coinvolti nello sviluppo o nel test della tua app.

Solo dati di proprietà del servizio

Se la tua app utilizza un account di servizio per accedere solo ai propri dati e non accede ai dati degli utenti (collegati a un Account Google), non è necessario richiedere la verifica.

Per capire cosa sono gli account di servizio, consulta Account di servizio nella documentazione di Google Cloud. Per istruzioni su come utilizzare un account di servizio, consulta Utilizzo di OAuth 2.0 per applicazioni da server a server.

Solo per uso interno

Ciò significa che l'app viene utilizzata solo dalle persone della tua organizzazione Google Workspace o Cloud Identity. Il progetto deve essere di proprietà dell'organizzazione e la relativa schermata per il consenso OAuth deve essere configurata per un tipo di utente Interno. In questo caso, la tua app potrebbe richiedere l'approvazione di un amministratore dell'organizzazione. Per maggiori informazioni, consulta Considerazioni aggiuntive per Google Workspace.

• Scopri di più sulle applicazioni pubbliche e interne.
• Scopri come contrassegnare la tua app come interna nelle domande frequenti Come faccio a contrassegnare la mia app come solo per uso interno?

Installazione a livello di dominio

Se prevedi di scegliere come target solo gli utenti di un'organizzazione Google Workspace o Cloud Identity e di utilizzare sempre l'installazione a livello di dominio, la tua app non richiederà la verifica. Questo perché un'installazione a livello di dominio consente a un amministratore di dominio di concedere alle applicazioni interne e di terze parti l'accesso ai dati degli utenti. Gli amministratori dell'organizzazione sono gli unici account che possono aggiungere l'app a una lista consentita per l'utilizzo all'interno dei propri domini.

Scopri come rendere la tua app un'installazione a livello di dominio nelle domande frequenti La mia applicazione ha utenti con account aziendali di un altro dominio Google Workspace.