Überprüfung sensibler Bereiche

Wenn Ihre App um die Berechtigung bittet, Google APIs für den Zugriff auf die Inhalte von Google-Nutzern zu verwenden haben Sie vielleicht einen Bestätigungsprozess abzuschließen, bevor Sie Ihre App zum ersten Mal .

Ob diese Anforderung für Ihre App gilt, hängt hauptsächlich von zwei Faktoren ab:

1. Die Art der Nutzerdaten, auf die Sie zugreifen: öffentliche Profilinformationen, Kalendereinträge, Dateien in Drive, bestimmte Gesundheits- und Fitnessdaten usw.
2. Den erforderlichen Grad an Zugriff: Lese- und Schreibzugriff usw.

Wenn Sie OAuth 2.0 verwenden, um von einem Google-Konto die Berechtigung für den Zugriff auf Daten zu erhalten, verwenden Sie als Bereiche, mit denen der Typ der Daten angegeben wird, auf den Sie in seinem Namen zugreifen möchten. Wenn Ihre App-Anfragen, die als sensibel oder eingeschränkt müssen, müssen Sie das Überprüfungsverfahren wahrscheinlich abschließen, es sei denn, Bei der Verwendung der App besteht eine Ausnahme.

Beispiele für vertrauliche Bereiche sind das Lesen von in Google Kalender gespeicherten Terminen, das Speichern eines neuen Kontakt in Google Kontakte oder Löschen eines YouTube-Videos. Weitere Informationen zu verfügbaren Bereichen und deren Klassifizierungen finden Sie in der Referenzdokumentation der API. von deiner App aufgerufene Endpunkte und alle zugehörigen Autorisierungsanleitungen, die für die API veröffentlicht wurden.

Sie müssen Berechtigungen anfordern, die den geringsten Zugriff auf Nutzerdaten erfordern, um diese Funktion bereitzustellen. Beispiel: Eine App, die nur Daten liest, darf keinen Zugriff zum Lesen, Schreiben oder Löschen von Inhalten anfordern, wenn ein ist für die API und die zugehörigen Endpunkte verfügbar. Daten, die Sie von einem Die Google API darf nur im Einklang mit den Richtlinien der API und auf die Art und Weise verwendet werden, in den Aktionen Ihrer App und in Ihrer Datenschutzerklärung.

Berücksichtigen Sie in Ihrem Einführungsplan für Ihr App oder neue Funktionen erfordert, die einen neuen Bereich erfordern. Das Überprüfungsverfahren für vertrauliche Bereiche dauert in der Regel drei bis fünf Werktage. Ihre App kann möglicherweise Marke Überprüfung als Teil Ihrer Anfrage zur Überprüfung eines vertraulichen Bereichs.

Informationen zu vertraulichen Bereichen

Vertrauliche Bereiche müssen von Google überprüft werden, bevor über ein Google-Konto Zugriff gewährt werden kann. Google Workspace-Organisationsadministratoren können Zugriff einschränken auf vertrauliche Bereiche, um den Zugriff über OAuth-Client-IDs zu verhindern, die von der Organisation nicht explizit als vertrauenswürdig kennzeichnen.

Nutzung des Umfangs verstehen

• Prüfen Sie die Bereiche, die Ihre Anwendung verwendet oder die Sie verwenden möchten. Um die Verwendung Ihrer vorhandenen Bereiche zu ermitteln, prüfen Sie den Quellcode Ihrer App auf Bereiche, die mit Autorisierungsanfragen gesendet wurden.
• Prüfen Sie, ob jeder angeforderte Umfang für die gewünschten Aktionen Ihrer App-Funktion erforderlich ist und verwendet nur die geringsten Berechtigungen, die für die Bereitstellung dieser Funktion erforderlich sind. Eine Google API hat in der Regel die Referenzdokumentation zu den Google-Entwicklerseite für ihre Endpunkte, die den für den Aufruf der Endpunkt oder bestimmte darin enthaltene Attribute. Weitere Informationen zum erforderlichen Umfang Zugriff auf die API-Endpunkte, die Ihre App aufruft, finden Sie in der Referenzdokumentation dieser Endpunkten.
• Daten, die Sie von einer Google API erhalten, dürfen nur gemäß den Richtlinien der API und in der Weise verwendet werden, wie Sie sie Ihren Nutzern in den Aktionen Ihrer App und in Ihrer Datenschutzerklärung darstellen.
• In der API-Dokumentation erfahren Sie mehr über die einzelnen Bereiche, einschließlich ihrer potenziellen sensitive or restricted aus.
• Deklariere alle von deiner App verwendeten Bereiche in der API Console: OAuth-Zustimmungsbildschirm Konfigurationsbereiche. Die von Ihnen angegebenen Bereiche sind als „vertraulich“ oder „eingeschränkt“ gruppiert , um alle erforderlichen Bestätigungen hervorzuheben.
• Finden Sie den besten Umfang, der den von Ihrer Integration verwendeten Daten am besten entspricht, verstehen Sie deren Verwendung, noch einmal überprüfen, ob alles in einer Testumgebung funktioniert, und sich dann auf das Einreichen zu überprüfen.

Schritte zur Vorbereitung auf die Überprüfung

Alle Apps, die Google APIs verwenden, um Zugriff auf Daten anzufordern, müssen die folgenden Schritte ausführen, um Markenüberprüfung abschließen:

1. Vergewissern Sie sich, dass Ihre App nicht unter einen der Anwendungsfälle im Ausnahmen von den Überprüfungsanforderungen.
2. Achten Sie darauf, dass Ihre App den Branding-Anforderungen der zugehörigen APIs entspricht. Produkt. Lesen Sie beispielsweise die Branding-Richtlinien. für Google Log-in-Bereiche.
3. Bestätigen Sie die Inhaberschaft der autorisierten Domains innerhalb der Google Search Console: Ein Google-Konto Konto, das mit Ihrem API Console Projekt als Inhaber oder Bearbeiter.
4. Achten Sie darauf, dass alle Branding-Informationen auf dem OAuth-Zustimmungsbildschirm wie App-Name, E-Mail, Startseiten-URI, Datenschutzerklärungs-URI usw. die Identität der App korrekt darstellt.

Anforderungen an die Startseite der Anwendung

Achten Sie darauf, dass Ihre Startseite die folgenden Anforderungen erfüllt:

• Ihre Startseite muss öffentlich zugänglich sein und darf nicht nur für den angemeldeten Nutzer Ihrer Website zugänglich sein. Nutzenden.
• Die Relevanz Ihrer Startseite für die zu überprüfende App muss eindeutig sein.
• Links zum Eintrag Ihrer App im Google Play Store oder auf der entsprechenden Facebook-Seite werden nicht berücksichtigt. gültige Startseiten der Anwendungen.

Anforderungen an Links zur Datenschutzerklärung der Anwendung

Die Datenschutzerklärung Ihrer App muss die folgenden Anforderungen erfüllen:

• Die Datenschutzerklärung muss für Nutzer sichtbar sein und in derselben Domain gehostet werden wie Ihr und auf dem OAuth-Zustimmungsbildschirm des Google API ConsoleDie Startseite muss einen eine Beschreibung der Funktionen der App sowie Links zur Datenschutzerklärung und optionale Nutzungsbedingungen.
• In der Datenschutzerklärung muss offengelegt werden, wie Ihre App auf Google-Nutzerdaten zugreift, diese verwendet, speichert oder weitergibt. Sie müssen die Verwendung von Google-Nutzerdaten auf die Praktiken beschränken, die in Ihrer veröffentlichten Version Datenschutzerklärung offenzulegen.

Anwendung zur Überprüfung einreichen

In einem Google API Console Projekt werden Ihre API Console Ressourcen. Ein Projekt besteht aus einer Reihe von Google-Konten, die berechtigt sind, Projektvorgänge auszuführen, eine Reihe von aktivierten APIs und Abrechnungs-, Authentifizierungs- und Monitoring-Einstellungen für diese APIs. Ein Projekt kann beispielsweise einen oder mehrere OAuth-Clients enthalten, APIs für die Verwendung durch diese Clients konfigurieren und einen OAuth-Zustimmungsbildschirm konfigurieren, der Nutzern angezeigt wird, bevor sie den Zugriff auf Ihre App autorisieren.

Wenn einer Ihrer OAuth-Clients noch nicht für die Produktion bereit ist, empfehlen wir, dass Sie ihn aus das die Verifizierung anfordert. Das ist in den Google API Consolemöglich.

So reichen Sie Ihre Unterlagen zur Überprüfung ein:

1. Achten Sie darauf, dass Ihre App den Nutzungsbedingungen für Google APIs und den Nutzerdatenrichtlinie der Google API-Dienste.
2. Aktualisieren Sie in Ihrer API Consoledie Inhaber- und Bearbeiterrollen der zu Ihrem Projekt verknüpften Konten sowie die E-Mail-Adresse des Nutzersupports und die Kontaktdaten des Entwicklers für den OAuth-Zustimmungsbildschirm. So werden die richtigen Mitglieder Ihres Teams über neue Anforderungen informiert.
3. Gehen Sie zum API Console OAuth Consent Screen page.
4. Klicken Sie auf die Schaltfläche Projektauswahl.

5. Wählen Sie im angezeigten Dialogfeld Auswählen aus Ihr Projekt aus. Wenn Sie Ihr Projekt nicht finden, aber die Projekt-ID kennen, können Sie in Ihrem Browser eine URL im folgenden Format erstellen:

   https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

   Ersetzen Sie [PROJECT_ID] durch die Projekt-ID, die Sie verwenden möchten.

6. Wählen Sie die Schaltfläche App bearbeiten aus.
7. Geben Sie die erforderlichen Informationen auf der Seite mit dem OAuth-Zustimmungsbildschirm ein und wählen Sie die Option Speichern und fortfahren.
8. Verwenden Sie die Schaltfläche Bereiche hinzufügen oder entfernen, um alle von Ihrer App angeforderten Bereiche zu deklarieren. Eine die ersten Bereiche, die für Google Log-in erforderlich sind, Nicht vertrauliche Bereiche. Hinzugefügte Umfänge werden als nicht sensibel eingestuft, sensitive, or restricted
9. Geben Sie bis zu drei Links zu relevanten Dokumentationen für zugehörige Funktionen in Ihrer App an.

10. Geben Sie in den nachfolgenden Anfragen alle zusätzlichen Informationen zu Ihrer App an. Schritte.

    1. Prepare a detailed justification for each requested sensitive scope, as well as an explanation for why a narrower scope isn't sufficient. For example: "My app will use https://www.googleapis.com/auth/calendar to show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar."

    2. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
11. Wenn für die von Ihnen angegebene App-Konfiguration eine Überprüfung erforderlich ist, können Sie sie einreichen die App zur Bestätigung. Füllen Sie die Pflichtfelder aus und klicken Sie dann auf Senden, um den Bestätigungsprozess zu starten.

Nachdem Sie Ihre App eingereicht haben, Das Sicherheitsteam meldet sich per E-Mail zusätzliche Informationen oder Schritte, die Sie ausführen müssen. Überprüfe deine E-Mail-Adressen im Der Abschnitt Kontaktdaten des Entwicklers und die Support-E-Mail-Adresse Ihrer OAuth-Zustimmung. Bildschirm für Anfragen nach weiteren Informationen. Auf der Seite mit dem OAuth-Zustimmungsbildschirm Ihres Projekts können Sie den aktuellen Überprüfungsstatus Ihres Projekts einsehen, einschließlich der Information, ob der Überprüfungsprozess pausiert ist, während wir auf Ihre Antwort warten.

Ausnahmen von den Überprüfungsanforderungen

Wenn Ihre App in einem der in den folgenden Abschnitten beschriebenen Szenarien verwendet wird, müssen Sie sie nicht zur Überprüfung einreichen.

Private Nutzung

Wenn Sie der einzige Nutzer Ihrer App sind oder Ihre App nur von wenigen Nutzern verwendet wird, die Sie alle persönlich kennen. Sie und Ihre begrenzte Anzahl an Nutzern könnten mit meiner Arbeit durch nicht verifizierte App und gewähre deinen privaten Konten Zugriff auf deine App.

Projekte für Entwicklung, Tests oder Staging Stufen

Um Google OAuth 2.0-Richtlinien einhalten, empfehlen wir, unterschiedliche Projekte für Test- und Produktionsumgebungen. Wir empfehlen, Ihre App nur zur Überprüfung einzureichen, wenn Sie sie für alle Nutzer mit einem Google-Konto verfügbar machen möchten. Wenn Ihre App also sich in der Entwicklungs-, Test- oder Testphase befindet, ist keine Bestätigung erforderlich.

Wenn sich Ihre App in der Entwicklungs- oder Testphase befindet, können Sie die Veröffentlichungsstatus in der Standardeinstellung von Testen. Diese Einstellung bedeutet, dass sich Ihre App noch in der Entwicklung befindet und nur für Nutzer verfügbar, die Sie der Liste der Testnutzer hinzufügen. Sie müssen die Liste der Google-Konten verwalten die an der Entwicklung oder Tests Ihrer App beteiligt sind.

Nur diensteigene Daten

Wenn Ihre Anwendung über ein Dienstkonto nur auf ihre eigenen Daten zugreift, aber nicht auf Nutzer (mit einem Google-Konto verknüpft) sind, müssen Sie sie nicht zur Bestätigung einreichen.

Informationen zu Dienstkonten finden Sie unter Dienstkonten in Dokumentation von Google Cloud Eine Anleitung zur Verwendung eines Dienstkontos finden Sie unter OAuth 2.0 für Server-zu-Server verwenden Apps.

Nur zur internen Verwendung

Das bedeutet, dass die App nur von Personen in Ihrem Google Workspace- oder Cloud Identity-Konto verwendet wird Organisation ist. Das Projekt muss der Organisation und dem zugehörigen OAuth-Zustimmungsbildschirm gehören muss für eine Interner Nutzer Typ aus. In diesem Fall benötigt Ihre App möglicherweise die Genehmigung eines Organisationsadministrators. Für finden Sie unter Zusätzliche Überlegungen zu Google Workspace.

• Weitere Informationen zu öffentlichen und internen Anwendungen
• Weitere Informationen dazu, wie du deine App als intern kennzeichnen kannst, findest du in den FAQs Wie kann ich meine App als oder nur für interne Zwecke?

Domainweite Installation

Wenn Ihre Anwendung nur auf Nutzer von Google Workspace oder Cloud Identity ausgerichtet sein soll und immer domainweit zu nutzen, installiert ist, ist für Ihre App keine App-Überprüfung erforderlich. Das liegt daran, dass eine kann ein Domain-Administrator externen und internen Anwendungen Zugriff auf der Nutzer Daten. Nur Organisationsadministratoren können die App einem Zulassungsliste für die Verwendung in ihren Domains.

In den FAQs erfahren Sie, wie Sie Ihre App als domainweite Installation einrichten. Meine App hat Nutzer mit Unternehmenskonten aus einer anderen Google Workspace-Domain.