Guía de migración del flujo fuera de banda (OOB)

Descripción general

El 16 de febrero de 2022, anunciamos planes para mejorar la seguridad de las interacciones de Google OAuth mediante flujos más seguros. Esta guía te ayuda a comprender los cambios y los pasos necesarios para migrar con éxito del flujo fuera de banda (OOB) de OAuth a alternativas compatibles.

Este esfuerzo es una medida de protección contra la suplantación de identidad (phishing) y los ataques de robo de identidad de apps durante las interacciones con los extremos de autorización de OAuth 2.0 de Google.

El flujo de OOB dejará de estar disponible para todos los tipos de clientes, como las aplicaciones web, Android, iOS y la plataforma universal de Windows (UWP), apps de Chrome, TVs y dispositivos de entrada limitada, apps de escritorio.

Determine si este problema le afecta

Esta baja solo se aplica a las apps en producción (es decir, las apps con el estado de publicación configurado como En producción). El flujo seguirá funcionando para las apps con el estado de publicación de pruebas.

Revisa el estado de publicación en Consent Screen pagede OAuth de Google API Console y continúa con el siguiente paso si usas el flujo de OOB en un proyecto con el estado de publicación “En producción”.

Cómo determinar si tu app usa el flujo de OOB

Inspecciona el código de tu app o la llamada de red saliente (en caso de que tu app use una biblioteca de OAuth) para determinar si la solicitud de autorización de Google OAuth usa un valor de URI de redireccionamiento de OOB.

Inspeccione el código de su aplicación

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

Inspeccionar la llamada de red saliente

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
scope=<SCOPES>&
state=<STATE>&
redirect_uri=urn:ietf:wg:oauth:2.0:oob&
client_id=<CLIENT_ID>

Migra a una alternativa segura

Clientes para dispositivos móviles (Android / iOS)

Si determinas que tu app usa el flujo OOB con un tipo de cliente de OAuth para Android o iOS, debes migrar a nuestros SDK para dispositivos móviles de Acceso con Google (Android y iOS).

El SDK facilita el acceso a las API de Google y controla todas las llamadas a los extremos de autorización de OAuth 2.0 de Google.

En los siguientes vínculos de documentación, se proporciona información para usar los SDK de Acceso con Google a fin de acceder a las API de Google sin usar un URI de redireccionamiento de OOB.

Acceso a las API de Google en Android

Acceso del servidor (sin conexión)

Task<GoogleSignInAccount> task = GoogleSignIn.getSignedInAccountFromIntent(data);
try {
  GoogleSignInAccount account = task.getResult(ApiException.class);
  
  // request a one-time authorization code that your server exchanges for an
  // access token and sometimes refresh token
  String authCode = account.getServerAuthCode();
  
  // Show signed-in UI
  updateUI(account);

  // TODO(developer): send code to server and exchange for access/refresh/ID tokens
} catch (ApiException e) {
  Log.w(TAG, "Sign-in failed", e);
  updateUI(null);
}

Consulta la guía de acceso del servidor para acceder a las API de Google desde el servidor.

Accede a las API de Google en una app para iOS

Acceso del cliente

En el siguiente ejemplo, se muestra cómo acceder a las API de Google en el cliente en iOS.

user.authentication.do { authentication, error in
  guard error == nil else { return }
  guard let authentication = authentication else { return }
  
  // Get the access token to attach it to a REST or gRPC request.
  let accessToken = authentication.accessToken
  
  // Or, get an object that conforms to GTMFetcherAuthorizationProtocol for
  // use with GTMAppAuth and the Google APIs client library.
  let authorizer = authentication.fetcherAuthorizer()
}

Usa el token de acceso a fin de llamar a la API, ya sea mediante la inclusión del token de acceso en el encabezado de una solicitud de REST o gRPC (Authorization: Bearer ACCESS_TOKEN), o mediante el autorizador de obtención (GTMFetcherAuthorizationProtocol) con la biblioteca cliente de las API de Google para Objective-C para REST.

Consulta la guía de acceso del cliente para obtener información sobre cómo acceder a las API de Google del cliente. sobre cómo acceder a las API de Google en el cliente.

Acceso al servidor (sin conexión)

GIDSignIn.sharedInstance.signIn(with: signInConfig, presenting: self) { user, error in
  guard error == nil else { return }
  guard let user = user else { return }
  
  // request a one-time authorization code that your server exchanges for
  // an access token and refresh token
  let authCode = user.serverAuthCode
}

Revisa la guía de acceso del servidor para acceder a las API de Google desde el servidor.

Cliente de Chrome App

Si determinas que tu app usa el flujo de OOB en el cliente de la app de Chrome, debes migrar al uso de la API de Chrome Identity.

En el siguiente ejemplo, se muestra cómo obtener todos los contactos del usuario sin el uso de un URI de redireccionamiento OOB.

window.onload = function() {
  document.querySelector('button').addEventListener('click', function() {

  
  // retrieve access token
  chrome.identity.getAuthToken({interactive: true}, function(token) {
  
  // ..........


  // the example below shows how to use a retrieved access token with an appropriate scope
  // to call the Google People API contactGroups.get endpoint

  fetch(
    'https://people.googleapis.com/v1/contactGroups/all?maxMembers=20&key=API_KEY',
    init)
    .then((response) => response.json())
    .then(function(data) {
      console.log(data)
    });
   });
 });
};

Revisa la guía de la API de Chrome Identity para obtener más información sobre cómo acceder a los usuarios de autenticación y llamar a los extremos de Google con la API de Chrome Identity.

Aplicación web

Si determinas que tu app usa el flujo de OOB para una aplicación web, debes migrar a una de nuestras bibliotecas cliente de la API de Google. Las bibliotecas cliente para los distintos lenguajes de programación se enumeran aquí.

Las bibliotecas facilitan el acceso a las API de Google y el manejo de todas las llamadas a los extremos de Google.

Acceso al servidor (sin conexión)

En el siguiente fragmento de código, se muestra un ejemplo de Node.js sobre el uso de la API de Google Drive para enumerar los archivos de Google Drive de un usuario en el servidor sin usar un URI de redireccionamiento de OOB.

async function main() {
  const server = http.createServer(async function (req, res) {

  if (req.url.startsWith('/oauth2callback')) {
    let q = url.parse(req.url, true).query;

    if (q.error) {
      console.log('Error:' + q.error);
    } else {
      
      // Get access and refresh tokens (if access_type is offline)
      let { tokens } = await oauth2Client.getToken(q.code);
      oauth2Client.setCredentials(tokens);

      // Example of using Google Drive API to list filenames in user's Drive.
      const drive = google.drive('v3');
      drive.files.list({
        auth: oauth2Client,
        pageSize: 10,
        fields: 'nextPageToken, files(id, name)',
      }, (err1, res1) => {
        // TODO(developer): Handle response / error.
      });
    }
  }
}

Consulta la guía de aplicaciones web del servidor para acceder a las API de Google desde el servidor.

Acceso del cliente

En el siguiente fragmento de código, en JavaScript, se muestra un ejemplo del uso de la API de Google para acceder a los eventos del calendario del usuario del cliente.

// initTokenClient() initializes a new token client with your
// web app's client ID and the scope you need access to

const client = google.accounts.oauth2.initTokenClient({
  client_id: 'YOUR_GOOGLE_CLIENT_ID',
  scope: 'https://www.googleapis.com/auth/calendar.readonly',
  
  // callback function to handle the token response
  callback: (tokenResponse) => {
    if (tokenResponse && tokenResponse.access_token) { 
      gapi.client.setApiKey('YOUR_API_KEY');
      gapi.client.load('calendar', 'v3', listUpcomingEvents);
    }
  },
});

function listUpcomingEvents() {
  gapi.client.calendar.events.list(...);
}

Revisa la guía de aplicaciones web del cliente para acceder a las API de Google desde el cliente.

Cliente para computadoras de escritorio

Si determinas que tu app usa el flujo de OOB en un cliente de escritorio, debes migrar al flujo de dirección IP de bucle invertido (localhost o 127.0.0.1).