Guide de migration du flux d'adresses IP de rebouclage

Présentation

Le 16 février 2022, nous avons annoncé notre intention de renforcer la sécurité des interactions OAuth avec Google en utilisant des flux OAuth plus sécurisés. Ce guide vous aide à comprendre les modifications nécessaires et les étapes à suivre pour passer du flux d'adresses IP de rebouclage aux alternatives compatibles.

Cette initiative constitue une mesure de protection contre les attaques par hameçonnage et par usurpation d'identité d'applications lors des interactions avec les points de terminaison d'autorisation OAuth 2.0 de Google.

Le flux d'adresses IP de bouclage est obsolète pour les types de clients OAuth natifs pour iOS, Android et Chrome, mais il continuera d'être compatible avec les applications de bureau.

Déterminez si vous êtes concerné.

Vérifier votre type d'ID client OAuth

Accédez à la propriété Credentials page de Google API Console et affichez votre type d'ID client OAuth dans la section ID client OAuth 2.0. Il s'agit de l'un des éléments suivants: Application Web, Android, iOS, Plate-forme Windows universelle (UWP), Application Chrome, Téléviseurs et périphériques d'entrée limitée, Application de bureau.

Passez à l'étape suivante si votre type de client est Android, application Chrome ou iOS et que vous utilisez le flux d'adresse IP de rebouclage.

Si vous utilisez le flux d'adresses IP de bouclage sur un client OAuth d'application de bureau, vous n'aurez rien à faire. En effet, ce type de client OAuth continuera d'être utilisé.

Déterminer si votre application utilise le flux d'adresses IP de rebouclage

Inspectez le code de votre application ou l'appel réseau sortant (si votre application utilise une bibliothèque OAuth) pour déterminer si la requête d'autorisation Google OAuth de votre application utilise des valeurs d'URI de redirection de rebouclage.

Inspecter le code de votre application

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

Inspecter l'appel réseau sortant

https://accounts.google.com/o/oauth2/v2/auth?
redirect_uri=http://localhost:3000&
response_type=code&
scope=<SCOPES>&
state=<STATE>&
client_id=<CLIENT_ID>

Migrer vers une alternative compatible

Clients mobiles (Android / iOS)

Si vous déterminez que votre application utilise le flux d'adresses IP de bouclage avec un type de client OAuth Android ou iOS, nous vous conseillons d'utiliser nos SDK Google Sign-In pour mobile (Android, iOS).

Ce SDK facilite l'accès aux API Google et gère tous les appels aux points de terminaison d'autorisation OAuth 2.0 de Google.

Les liens vers la documentation ci-dessous expliquent comment utiliser les SDK Google Sign-In pour accéder aux API Google sans utiliser d'URI de redirection d'adresse IP de rebouclage.

Accéder aux API Google sur Android

Accès côté serveur (hors connexion)

Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
try {
  GoogleSignInAccount account = task.getResult(ApiException.class);
  
  // request a one-time authorization code that your server exchanges for an
  // access token and sometimes refresh token
  String authCode = account.getServerAuthCode();
  
  // Show signed-in UI
  updateUI(account);

  // TODO(developer): send code to server and exchange for access/refresh/ID tokens
} catch (ApiException e) {
  Log.w(TAG, "Sign-in failed", e);
  updateUI(null);
}

Consultez le guide d'accès côté serveur pour découvrir comment accéder aux API Google côté serveur.

Accéder aux API Google dans une application iOS

Accès côté client

L'exemple ci-dessous montre comment accéder aux API Google côté client sur iOS.

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

Utilisez le jeton d'accès pour appeler l'API, soit en l'incluant dans l'en-tête d'une requête REST ou gRPC (Authorization: Bearer ACCESS_TOKEN), soit en utilisant l'agent d'autorisation d'extraction (GTMFetcherAuthorizationProtocol) avec la bibliothèque cliente des API Google pour Goal-C pour REST.

Consultez le guide de l'accès côté client pour découvrir comment accéder aux API Google côté client. sur la façon d'accéder aux API Google côté client.

Accès côté serveur (hors connexion)

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

Consultez le guide d'accès côté serveur pour découvrir comment accéder aux API Google côté serveur.

Client d'application Chrome

Si vous déterminez que votre application utilise le flux d'adresses IP de rebouclage sur le client de l'application Chrome, vous devez migrer vers l' API Chrome Identity.

L'exemple ci-dessous montre comment obtenir tous les contacts d'un utilisateur sans utiliser un URI de redirection d'adresse IP de bouclage.

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

Consultez le guide de l'API Chrome Identity pour en savoir plus sur la façon d'accéder à l'authentification des utilisateurs et d'appeler les points de terminaison Google avec l'API Chrome Identity.