Mematuhi kebijakan OAuth 2.0

Panduan ini menguraikan cara mematuhi masalah developer paling umum yang dihadapi saat Anda menyiapkan aplikasi untuk produksi.

Ringkasan

Saat Anda siap men-deploy solusi yang diterapkan di luar lingkungan pengembangan ke pengguna aplikasi, Anda mungkin perlu mengambil langkah tambahan untuk mematuhi Kebijakan OAuth 2.0 Google. Dalam panduan ini, kami menguraikan cara mematuhi masalah developer paling umum yang dihadapi saat Anda menyiapkan aplikasi untuk produksi. Hal ini membantu Anda menjangkau audiens terbesar dengan error terbatas.

Menggunakan project terpisah untuk pengujian dan produksi

Kebijakan OAuth Google memerlukan project terpisah untuk pengujian dan produksi. Beberapa kebijakan dan persyaratan hanya berlaku untuk aplikasi produksi. Anda mungkin perlu membuat dan mengonfigurasi project terpisah yang menyertakan klien OAuth yang sesuai dengan versi produksi aplikasi Anda yang tersedia untuk semua Akun Google.

Klien Google OAuth yang digunakan dalam produksi membantu menyediakan lingkungan pengumpulan dan penyimpanan data yang lebih stabil, dapat diprediksi, dan aman daripada klien OAuth serupa yang menguji atau men-debug aplikasi yang sama. Project produksi Anda dapat dikirimkan untuk verifikasi dan oleh karena itu tunduk pada persyaratan tambahan untuk cakupan API tertentu, yang mungkin mencakup penilaian keamanan pihak ketiga.

  1. Buka Konsol API Google. Klik Buat project, masukkan nama, lalu klik Buat.
  2. Tinjau klien OAuth dalam project ini yang mungkin terkait dengan tingkat pengujian Anda. Jika berlaku, buat klien OAuth serupa untuk klien produksi di dalam project produksi Anda.
  3. Aktifkan API apa pun yang digunakan oleh klien Anda.
  4. Tinjau konfigurasi Layar Izin OAuth untuk project baru di halaman Branding Konsol Cloud.

Klien Google OAuth yang digunakan dalam produksi tidak boleh berisi lingkungan pengujian, URI pengalihan, atau asal JavaScript yang hanya tersedia untuk Anda atau tim pengembangan Anda. Berikut ini adalah beberapa contohnya:

  • Server pengujian developer perorangan
  • Versi pengujian atau pra-rilis aplikasi Anda

Mempertahankan daftar kontak yang relevan untuk project

Google, dan API individual yang Anda aktifkan, mungkin perlu menghubungi Anda terkait perubahan pada layanannya atau konfigurasi baru yang diperlukan untuk project Anda dan kliennya. Tinjau listingan IAM project Anda untuk memastikan orang yang relevan di tim Anda memiliki akses untuk mengedit atau melihat konfigurasi project Anda. Akun ini mungkin juga menerima email tentang perubahan yang diperlukan pada project Anda.

Peran berisi serangkaian izin yang memungkinkan Anda melakukan tindakan tertentu pada resource project. Editor project memiliki izin untuk tindakan yang mengubah status, seperti kemampuan untuk membuat perubahan pada layar izin OAuth project Anda. Pemilik project yang memiliki semua izin editor dapat menambahkan atau menghapus akun yang terkait dengan project, atau menghapus project. Pemilik project juga dapat memberikan konteks tentang alasan informasi penagihan mungkin ditetapkan. Pemilik project dapat menyiapkan informasi penagihan untuk project yang menggunakan API berbayar.

Pemilik dan editor project harus selalu mendapatkan informasi terbaru. Anda dapat menambahkan beberapa akun yang relevan ke project Anda untuk membantu memastikan akses berkelanjutan ke project dan pemeliharaan terkait. Kami mengirimkan email ke akun tersebut jika ada notifikasi tentang project Anda atau update pada layanan kami. Administrator organisasi Google Cloud harus memastikan bahwa kontak yang dapat dihubungi dikaitkan dengan setiap project di organisasi mereka. Jika kami tidak memiliki informasi kontak terbaru untuk project Anda, Anda mungkin akan melewatkan pesan penting yang memerlukan tindakan Anda.

Menyatakan identitas Anda secara akurat

Berikan nama aplikasi yang valid dan, secara opsional, logo untuk ditampilkan kepada pengguna. Informasi merek ini harus secara akurat menyatakan identitas aplikasi Anda. Informasi branding aplikasi dikonfigurasi dari halaman Branding OAuth Branding page.

Untuk aplikasi produksi, informasi merek yang ditentukan di layar izin OAuth Anda harus diverifikasi sebelum ditampilkan kepada pengguna. Pengguna mungkin lebih cenderung memberikan akses ke aplikasi Anda setelah menyelesaikan verifikasi mereknya. Informasi aplikasi dasar, yang mencakup nama aplikasi, halaman beranda, persyaratan layanan, dan kebijakan privasi, ditampilkan kepada pengguna di layar pemberian izin, saat mereka meninjau pemberian izin yang ada, atau kepada administrator Google Workspace yang meninjau penggunaan aplikasi oleh organisasi mereka.

Google dapat mencabut atau menangguhkan akses ke Layanan Google API dan produk serta layanan Google lainnya untuk aplikasi yang salah menyatakan identitasnya atau mencoba menipu pengguna.

Hanya meminta cakupan yang Anda perlukan

Selama pengembangan aplikasi, Anda mungkin telah menggunakan cakupan contoh yang disediakan oleh API untuk membuat bukti konsep dalam aplikasi Anda guna mempelajari lebih lanjut fitur dan fungsi API. Cakupan contoh ini sering kali meminta lebih banyak informasi daripada yang dibutuhkan oleh penerapan akhir aplikasi Anda, karena cakupan tersebut memberikan cakupan komprehensif dari semua tindakan yang mungkin dilakukan untuk API tertentu. Misalnya, cakupan contoh mungkin meminta izin baca, tulis, dan hapus, sedangkan aplikasi Anda hanya memerlukan izin baca. Minta izin yang relevan yang terbatas pada informasi penting yang diperlukan untuk menerapkan aplikasi Anda.

Tinjau dokumentasi referensi untuk endpoint API yang dipanggil aplikasi Anda dan catat cakupan yang diperlukan untuk mengakses data relevan yang dibutuhkan aplikasi Anda. Tinjau panduan otorisasi yang ditawarkan API dan jelaskan cakupannya secara lebih mendetail untuk menyertakan penggunaan yang paling umum. Pilih akses data paling minimal yang dibutuhkan aplikasi Anda untuk mendukung fitur terkait.

Untuk mengetahui informasi selengkapnya tentang persyaratan ini, baca bagian Hanya meminta cakupan yang Anda perlukan dari Kebijakan OAuth 2.0, beserta bagian Meminta izin yang relevan dari Kebijakan Data Pengguna Layanan Google API.

Mengirimkan aplikasi produksi yang menggunakan cakupan non-sensitif atau tidak dibatasi untuk verifikasi

Login dengan Google tidak meminta cakupan sensitif dan dibatasi saat mengautentikasi pengguna. Jika aplikasi Anda hanya menggunakan Login dengan Google untuk autentikasi, Anda harus mengirimkan aplikasi untuk verifikasi merek. Anda dapat mengirimkan untuk verifikasi di Konsol Google Cloud dari Halaman Branding. Verifikasi ini diperlukan untuk menampilkan elemen branding untuk aplikasi—termasuk Nama, Logo, Kebijakan Privasi, Persyaratan Layanan, dan cakupan—di Layar Izin.

Sebaiknya aplikasi Anda mematuhi panduan branding resmi untuk menempatkan tombol Login.

Hanya menggunakan domain yang Anda miliki

Proses verifikasi layar izin OAuth Google memerlukan verifikasi semua domain yang terkait dengan halaman beranda, kebijakan privasi, persyaratan layanan, URI pengalihan resmi, atau asal JavaScript resmi project Anda. Tinjau daftar domain yang digunakan oleh aplikasi Anda, yang diringkas di bagian Domain resmi editor layar izin OAuth, dan identifikasi domain yang tidak Anda miliki sehingga Anda tidak dapat memverifikasinya. Untuk memverifikasi kepemilikan domain resmi project Anda, gunakan Google Search Console. Gunakan Akun Google yang terkait dengan project Konsol API Anda sebagai Pemilik atau Editor.

Jika project Anda menggunakan penyedia layanan dengan domain umum bersama, sebaiknya aktifkan konfigurasi yang akan memungkinkan penggunaan domain Anda sendiri. Beberapa penyedia menawarkan untuk memetakan layanan mereka ke subdomain domain yang sudah Anda miliki.

Menghosting halaman beranda untuk aplikasi produksi

Setiap aplikasi produksi yang menggunakan OAuth 2.0 harus memiliki halaman beranda yang dapat diakses secara publik. Calon pengguna aplikasi Anda mungkin mengunjungi halaman beranda untuk mempelajari lebih lanjut fitur dan fungsi yang ditawarkan aplikasi. Pengguna yang ada mungkin meninjau daftar pemberian izin yang ada dan mengunjungi halaman beranda aplikasi Anda sebagai pengingat tentang penggunaan berkelanjutan atas penawaran Anda.

Halaman beranda aplikasi Anda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional. Halaman beranda harus ada di domain terverifikasi yang berada di bawah kepemilikan Anda.

Menggunakan URI pengalihan dan asal JavaScript yang aman

Klien OAuth 2.0 untuk aplikasi web harus mengamankan datanya menggunakan URI pengalihan HTTPS dan asal JavaScript, bukan HTTP biasa. Google dapat menolak permintaan OAuth yang tidak berasal dari atau tidak mengarah ke konteks yang aman.

Pertimbangkan aplikasi dan skrip pihak ketiga mana yang mungkin memiliki akses ke token dan kredensial pengguna lainnya yang kembali ke halaman Anda. Batasi akses ke data sensitif dengan lokasi URI pengalihan yang terbatas untuk memverifikasi dan menyimpan data token.

Langkah berikutnya

Setelah Anda memastikan bahwa aplikasi Anda mematuhi kebijakan OAuth 2.0 di halaman ini, lihat Mengirimkan untuk verifikasi merek guna mengetahui detail tentang proses verifikasi.