Hassas kapsam doğrulaması

Uygulamanız, Google kullanıcılarının verilerine erişmek için Google API'lerini kullanma izni istiyorsa uygulamanızı ilk kez herkese açık olarak kullanıma sunmadan önce bir doğrulama sürecini tamamlamanız gerekebilir.

Bu şartın uygulamanız için geçerli olup olmadığı, genellikle iki faktöre bağlıdır:

1. Eriştiğiniz kullanıcı verilerinin türü (ör. herkese açık profil bilgileri, takvim girişleri, Drive'daki dosyalar, belirli sağlık ve fitness verileri)
2. İhtiyacınız olan erişim düzeyi (salt okuma, okuma ve yazma vb.)

Bir Google Hesabı'ndan verilerine erişim izni almak için OAuth 2.0'ı kullandığınızda, kullanıcı adına erişmek istediğiniz veri türünü belirtmek için kapsamlar adı verilen dizeleri kullanırsınız. Uygulamanız hassas veya kısıtlanmış olarak kategorize edilen kapsamlar istiyorsa uygulamanızın kullanımı istisna kapsamına girmediği sürece doğrulama sürecini tamamlamanız gerekir.

Hassas kapsamlar arasında Google Takvim'de depolanan etkinlikleri okuma, Google Kişiler'e yeni kişi ekleme veya YouTube videolarını silme gibi işlemler yer alır. Kullanılabilir kapsamlar ve sınıflandırmaları hakkında daha fazla bilgi için uygulamanız tarafından çağrılan API uç noktalarının referans belgelerine ve API için yayınlanan ilgili yetkilendirme kılavuzuna bakın.

Bu işlevi sağlamak için gereken kullanıcı verilerine en az erişim gerektiren kapsamları istemeniz gerekir. Örneğin, yalnızca veri okuyan bir uygulama, API ve ilgili uç noktaları için daha dar bir kapsam mevcutsa içerik okuma, yazma ve silme erişimi istememelidir. Bir Google API'sinden aldığınız veriler yalnızca API'nin politikalarına uygun şekilde ve uygulamanızın işlemlerinde ve gizlilik politikanızda kullanıcılarınıza beyan ettiğiniz şekilde kullanılmalıdır.

Uygulamanızın veya yeni bir kapsam gerektiren yeni özelliklerin lansman planına, doğrulama işlemini tamamlamak için gereken süreyi eklediğinizden emin olun. Hassas kapsam doğrulama sürecinin tamamlanması 10 günü bulabilir. Uygulamanızın, hassas kapsam doğrulama isteğinizin bir alt kümesi olarak marka doğrulama işlemini tamamlamaya uygun olabileceğini unutmayın.

---

Hassas kapsamları anlama

Hassas kapsamlar, herhangi bir Google Hesabı erişim izni vermeden önce Google tarafından incelenmelidir. Google Workspace kuruluş yöneticileri, kuruluşun açıkça güvenilir olarak işaretlemediği OAuth istemci kimliklerinin erişimini engellemek için hassas kapsamlara erişimi kısıtlayabilir.

Kapsam kullanımınızı anlama

• Uygulamanızın kullandığı veya kullanmak istediğiniz kapsamları inceleyin. Mevcut kapsam kullanımınızı bulmak için uygulamanızın kaynak kodunda yetkilendirme istekleriyle gönderilen kapsamları inceleyin.
• İstenen her kapsamın, uygulama özelliğinizin amaçlanan işlemleri için gerekli olduğunu ve özelliği sağlamak için gereken en az ayrıcalığı kullandığını belirleyin. Google API'lerinin genellikle ürünün Google Developer sayfasında uç noktalarıyla ilgili referans dokümanları bulunur. Bu dokümanlarda, uç noktayı veya içindeki belirli özellikleri çağırmak için gereken kapsam yer alır. Uygulamanızın çağırdığı API uç noktaları için gerekli erişim kapsamları hakkında daha fazla bilgi edinmek isterseniz bu uç noktaların referans belgelerini okuyun.
• Google API'lerinden aldığınız veriler yalnızca API'nin politikalarına uygun şekilde ve uygulamanızın işlemlerinde ve gizlilik politikanızda kullanıcılarınıza belirttiğiniz şekilde kullanılmalıdır.
• Potansiyel hassas veya kısıtlanmış durumu da dahil olmak üzere her kapsam hakkında daha fazla bilgi edinmek için API belgelerine bakın.
• Uygulamanız tarafından kullanılan tüm kapsamları Cloud Console'un Veri Erişimi sayfasında beyan edin. Belirttiğiniz kapsamlar, gereken ek doğrulamaları vurgulamak için hassas veya kısıtlanmış kategoriler halinde gruplandırılır.
• Entegrasyonunuz tarafından kullanılan verilere uyan en iyi kapsamı bulun, kullanımını anlayın, her şeyin test ortamında hâlâ çalıştığını yeniden onaylayın ve ardından doğrulama için göndermeye hazırlanın.

---

Doğrulamaya hazırlanma adımları

Verilere erişim istemek için Google API'lerini kullanan tüm uygulamaların marka doğrulamasını tamamlamak için aşağıdaki adımları uygulaması gerekir:

1. Uygulamanızın, Doğrulama şartlarıyla ilgili istisnalar bölümündeki kullanım alanlarından hiçbirine girmediğini onaylayın.
2. Uygulamanızın, ilişkili API'lerin veya ürünün markalarla ilgili koşullarına uyduğundan emin olun. Örneğin, Google ile Oturum Açma kapsamlarıyla ilgili markalama kurallarına göz atın.
3. Google Search Console'da projenizin yetkili alanlarının sahibi olduğunuzu doğrulayın. API Konsolu projenizle Sahip veya Düzenleyici olarak ilişkilendirilmiş bir Google Hesabı kullanın.
4. OAuth kullanıcı rızası ekranındaki tüm marka bilgilerinin (ör. uygulama adı, destek e-postası, ana sayfa URI'si, gizlilik politikası URI'si vb.) uygulamanın kimliğini doğru şekilde yansıttığından emin olun.

Uygulama ana sayfası koşulları

Ana sayfanızın aşağıdaki koşulları karşıladığından emin olun:

• Ana sayfanız yalnızca sitenize giriş yapmış kullanıcılar tarafından değil, herkes tarafından erişilebilir olmalıdır.
• Ana sayfanızın, incelenen uygulamayla olan ilgisi net olmalıdır.
• Uygulamanızın Google Play Store'daki girişine veya Facebook sayfasına yönlendiren bağlantılar, geçerli uygulama ana sayfaları olarak kabul edilmez.

Uygulama gizlilik politikası bağlantısı şartları

Uygulamanızın gizlilik politikasının aşağıdaki şartları karşıladığından emin olun:

• Gizlilik politikası, kullanıcılar tarafından görülebilmeli, uygulamanızın ana sayfasıyla aynı alanda barındırılmalı ve Google API Konsolu'nun OAuth kullanıcı rızası ekranında bağlantısı verilmelidir. Ana sayfada uygulamanın işlevinin açıklamasının yanı sıra gizlilik politikası ve isteğe bağlı hizmet şartları bağlantılarının bulunması gerektiğini unutmayın.
• Gizlilik politikasında, uygulamanızın Google kullanıcı verilerine nasıl eriştiği, bu verileri nasıl kullandığı, sakladığı veya paylaştığı açıklanmalıdır. Google kullanıcı verilerini kullanımınızı, yayınlanan gizlilik politikanızda açıklanan uygulamalarla sınırlandırmanız gerekir.

Uygulamanızı marka doğrulaması için gönderme

Google Cloud Console projesi, tüm Cloud Console kaynaklarınızı düzenler. Proje; proje işlemlerini gerçekleştirme iznine sahip bir dizi ilişkili Google Hesabı, bir dizi etkin API ve bu API'ler için faturalandırma, kimlik doğrulama ve izleme ayarlarından oluşur. Örneğin, bir proje bir veya daha fazla OAuth istemcisi içerebilir, API'leri bu istemciler tarafından kullanılacak şekilde yapılandırabilir ve kullanıcılar uygulamanıza erişim yetkisi vermeden önce gösterilecek bir OAuth kullanıcı rızası ekranı yapılandırabilir.

OAuth istemcilerinizden herhangi biri üretime hazır değilse bunları doğrulama isteyen projeden silmenizi öneririz. Bunu Müşteriler sayfasında yapabilirsiniz.

Doğrulama için göndermek üzere aşağıdaki adımları uygulayın:

1. Uygulamanızın Google API'leri Hizmet Şartları'na ve Google API Hizmetleri Kullanıcı Verileri Politikası'na uygun olduğundan emin olun.
2. Projenizin ilişkili hesaplarının sahip ve düzenleyici rollerini, OAuth kullanıcı rızası ekranınızın kullanıcı destek e-postasını ve geliştirici iletişim bilgilerini Cloud Console'da güncel tutun. Bu sayede, ekibinizdeki doğru üyeler yeni şartlar hakkında bilgilendirilir.
3. Cloud Console OAuth Markalama sayfasına gidin.
4. Proje seçici düğmesini tıklayın.

5. Açılan Seçim yapın iletişim kutusunda projenizi seçin. Projenizi bulamıyor ancak proje kimliğinizi biliyorsanız tarayıcınızda aşağıdaki biçimde bir URL oluşturabilirsiniz:

   https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
   

   [PROJECT_ID] yerine kullanmak istediğiniz proje kimliğini yazın.

6. Markalama sayfasında uygulamanızın markalama bilgilerini (uygulama adı, logo, geliştirici iletişim bilgileri ve ilgili bağlantılar) girin. Yaptığınız değişiklikler Marka bilinci oluşturma taslağı olarak kaydedilir.

7. Değerlendirme sürecini başlatmak için Marka Öğelerini Doğrula düğmesini tıklayın. Otomatik inceleme genellikle birkaç dakika içinde tamamlanır.

8. Değerlendirme tamamlandıktan sonra durumu inceleyin. İşlem başarılı olursa durum Yayınlanmaya hazır olarak değişir. Otomatik doğrulama başarısız olursa tespit edilen sorunları görebilir ve bunları düzeltebilir ya da manuel inceleme isteğinde bulunabilirsiniz.

9. Yeni markalamayı yayınlamak için Markalamayı yayınla düğmesini tıklayın.

10. Uygulamanız hassas veya kısıtlanmış kapsamlar için de doğrulama gerektiriyorsa OAuth Doğrulama Merkezi'ne giderek Veri erişim durumunuzu takip edin ve tanıtım videosu gibi istenen ek bilgileri sağlayın. Veri erişimi için doğrulama isteğinde bulunmadan önce yayınlanmış bir marka bilinci oluşturma durumunuzun olması gerektiğini unutmayın.

11. Uygulamanızın istediği tüm kapsamları bildirmek için Kapsam ekle veya kaldır düğmesini kullanın. Google ile Oturum Açma için gerekli olan ilk kapsam grubu, Hassas olmayan kapsamlar bölümünde önceden doldurulur. Eklenen kapsamlar hassas olmayan, hassas veya kısıtlanmış olarak sınıflandırılır.

12. Uygulamanızdaki ilgili özelliklerle alakalı belgeler için en fazla üç bağlantı sağlayın.

13. Sonraki adımlarda uygulamanızla ilgili istenen ek bilgileri sağlayın.

    1. İstenen her hassas kapsam için ayrıntılı bir gerekçe ve daha dar bir kapsamın neden yeterli olmadığına dair bir açıklama hazırlayın. Örneğin: "Uygulamam, kullanıcının Google Takvim verilerini uygulamamın planlama ekranında göstermek için https://www.googleapis.com/auth/calendar kapsamını kullanacak. Bu sayede kullanıcılar, programlarını uygulamam üzerinden yönetebilecek ve değişiklikleri Google Takvimleriyle senkronize edebilecek."
    2. Kullanıcının istenen kapsamlar için erişimi nasıl başlattığını ve verdiğini tam olarak gösteren, ayrıca verilen hassas ve kısıtlanmış kapsamların uygulamadaki kullanımını ayrıntılı bir şekilde açıklayan bir video hazırlayın. Videoyu YouTube Studio'ya yükleyin ve Görünürlük ayarını Liste dışı olarak belirleyin. YouTube bağlantısı alanına tanıtım videosunun bağlantısını eklemeniz gerekir.
       1. Kullanıcıların deneyimleyeceği OAuth erişim izni sürecini İngilizce olarak gösterin. Buna izin akışı ve Google ile Oturum Açma'yı kullanıyorsanız oturum açma akışı dahildir.
       2. OAuth kullanıcı rızası ekranında uygulama adının doğru şekilde gösterildiğini belirtin.
       3. OAuth kullanıcı rızası ekranının tarayıcı adres çubuğunda uygulamanızın OAuth istemci kimliğinin doğru şekilde yer aldığını gösterin.
       4. Verilerin nasıl kullanılacağını göstermek için istediğiniz her hassas kapsamın etkinleştirdiği işlevi gösterin.

Markanızı yayınladıktan veya veri erişimi isteği gönderdikten sonra Google'ın Güven ve Güvenlik Ekibi, ihtiyaç duyduğu ek bilgileri veya tamamlamanız gereken adımları e-posta yoluyla iletebilir. Ek bilgi istekleri için Geliştirici iletişim bilgileri bölümündeki e-posta adreslerinizi ve OAuth kullanıcı rızası ekranınızın destek e-posta adresini kontrol edin. Projenizin mevcut inceleme durumunu (yanıtınızı beklerken inceleme sürecinin duraklatılıp duraklatılmadığı dahil) onaylamak için projenizin Markalama veya Doğrulama Merkezi sayfalarını da görüntüleyebilirsiniz.

Doğrulama şartlarıyla ilgili istisnalar

Uygulamanız aşağıdaki bölümlerde açıklanan senaryolardan herhangi birinde kullanılacaksa incelemeye göndermeniz gerekmez.

Kişisel kullanım

Uygulamanızın tek kullanıcısı sizseniz veya uygulamanız yalnızca birkaç kullanıcı tarafından kullanılıyorsa ve bu kullanıcıların tümünü şahsen tanıyorsanız bu yöntemi kullanabilirsiniz. Siz ve sınırlı sayıdaki kullanıcılarınız, doğrulanmamış uygulama ekranında ilerleyip kişisel hesaplarınıza uygulamanıza erişim izni vermeyi tercih edebilirsiniz.

Geliştirme, Test veya Hazırlık katmanlarında kullanılan projeler

Google OAuth 2.0 politikalarına uymak için test ve üretim ortamlarında farklı projeler kullanmanızı öneririz. Uygulamanızı yalnızca Google Hesabı olan tüm kullanıcıların kullanımına sunmak istiyorsanız doğrulama için göndermenizi öneririz. Bu nedenle, uygulamanız geliştirme, test veya hazırlık aşamalarındaysa doğrulama gerekmez.

Uygulamanız geliştirme veya test aşamasındaysa Yayınlama Durumu'nu varsayılan ayar olan Test olarak bırakabilirsiniz. Bu ayar, uygulamanızın hâlâ geliştirme aşamasında olduğu ve yalnızca test kullanıcıları listesine eklediğiniz kullanıcılar tarafından kullanılabileceği anlamına gelir. Uygulamanızın geliştirme veya test sürecinde yer alan Google Hesaplarının listesini yönetmeniz gerekir.

Yalnızca hizmete ait veriler

Uygulamanız yalnızca kendi verilerine erişmek için bir hizmet hesabı kullanıyorsa ve hiçbir kullanıcı verisine (bir Google Hesabı'na bağlı) erişmiyorsa doğrulama için göndermeniz gerekmez.

Hizmet hesaplarının ne olduğunu anlamak için Google Cloud belgelerindeki Hizmet hesapları bölümüne bakın. Hizmet hesabı kullanma talimatları için Sunucudan sunucuya uygulamalar için OAuth 2.0'ı kullanma başlıklı makaleyi inceleyin.

Yalnızca dahili kullanım

Bu, uygulamanın yalnızca Google Workspace veya Cloud Identity kuruluşunuzdaki kişiler tarafından kullanıldığı anlamına gelir. Projenin sahibi kuruluş olmalı ve OAuth kullanıcı rızası ekranı, Dahili kullanıcı türü için yapılandırılmalıdır. Bu durumda, uygulamanızın bir kuruluş yöneticisinden onay alması gerekebilir. Daha fazla bilgi için Google Workspace için ek hususlar başlıklı makaleyi inceleyin.

• Herkese açık ve dahili uygulamalar hakkında daha fazla bilgi edinin.
• Uygulamanızı nasıl dahili olarak işaretleyeceğinizi SSS bölümündeki Uygulamamı nasıl yalnızca dahili olarak işaretleyebilirim? sorusundan öğrenebilirsiniz.

Alan genelinde yükleme

Uygulamanızın yalnızca bir Google Workspace veya Cloud Identity kuruluşunun kullanıcılarını hedeflemesini ve her zaman alan genelinde yükleme kullanmasını planlıyorsanız uygulamanız için marka doğrulaması gerekmez. Ancak uygulamanız kısıtlanmış veya hassas kapsamlar kullanıyorsa uygulama doğrulaması gerekir. Bunun nedeni, alan genelinde yüklemenin, alan yöneticisinin üçüncü taraf ve dahili uygulamalara kullanıcılarınızın verilerine erişim izni vermesine olanak tanımasıdır. Uygulamayı alanlarında kullanılmak üzere izin verilenler listesine yalnızca kuruluş yöneticileri ekleyebilir.

Uygulamanızı nasıl alan genelinde yükleme yapacağınızı Uygulamamda başka bir Google Workspace alanından kurumsal hesabı olan kullanıcılar var başlıklı SSS bölümünden öğrenebilirsiniz.