OAuth 2.0-Richtlinien einhalten

In diesem Leitfaden wird beschrieben, wie Sie die häufigsten Probleme beheben, die bei der Vorbereitung Ihrer App für die Produktion auftreten können.

Übersicht

Wenn Sie Ihre implementierte Lösung über Ihre Entwicklungsumgebung hinaus für die Nutzer Ihrer App bereitstellen möchten, müssen Sie möglicherweise zusätzliche Schritte ausführen, um die OAuth 2.0-Richtlinien von Google einzuhalten. In diesem Leitfaden wird beschrieben, wie Sie die häufigsten Probleme beheben, die bei der Vorbereitung Ihrer App für die Produktion auftreten können. So erreichen Sie die größtmögliche Zielgruppe mit möglichst wenigen Fehlern.

Separate Projekte für Tests und Produktion verwenden

Gemäß den OAuth-Richtlinien von Google sind separate Projekte für Tests und Produktion erforderlich. Einige Richtlinien und Anforderungen gelten nur für Produktions-Apps. Möglicherweise müssen Sie ein separates Projekt erstellen und konfigurieren, das OAuth-Clients enthält, die der Produktionsversion Ihrer App entsprechen, die für alle Google-Konten verfügbar ist.

In der Produktion verwendete Google OAuth-Clients bieten eine stabilere, vorhersehbarere und sicherere Umgebung für die Datenerhebung und -speicherung als ähnliche OAuth-Clients, die dieselbe Anwendung testen oder debuggen. Ihr Produktionsprojekt kann zur Überprüfung eingereicht werden und unterliegt daher zusätzlichen Anforderungen für bestimmte API-Bereiche, die möglicherweise Sicherheitsbewertungen durch Drittanbieter umfassen.

  1. Gehen Sie zur Google API Console. Klicken Sie auf Projekt erstellen, geben Sie einen Namen ein und klicken Sie auf Erstellen.
  2. Prüfen Sie die OAuth-Clients in diesem Projekt, die möglicherweise mit Ihrer Teststufe verknüpft sind. Erstelle gegebenenfalls ähnliche OAuth-Clients für die Produktionsclients in deinem Produktionsprojekt.
  3. Aktivieren Sie alle APIs, die von Ihren Clients verwendet werden.
  4. Prüfen Sie die Konfiguration des OAuth-Zustimmungsbildschirms für das neue Projekt auf der Branding-Seite der Cloud Console.

In der Produktion verwendete Google OAuth-Clients dürfen keine Testumgebungen, Weiterleitungs-URIs oder JavaScript-Ursprünge enthalten, die nur für Sie oder Ihr Entwicklungsteam verfügbar sind. Hier einige Beispiele:

  • Die Testserver einzelner Entwickler
  • Test- oder Vorabversionen Ihrer App

Liste relevanter Kontakte für das Projekt pflegen

Google und die einzelnen von Ihnen aktivierten APIs müssen Sie möglicherweise über Änderungen an den Diensten oder neue Konfigurationen informieren, die für Ihr Projekt und seine Clients erforderlich sind. Prüfen Sie die IAM-Einträge Ihres Projekts, um sicherzustellen, dass die relevanten Personen in Ihrem Team Zugriff auf die Projektkonfiguration haben, um sie zu bearbeiten oder anzusehen. Diese Konten erhalten möglicherweise auch E-Mails zu erforderlichen Änderungen an Ihrem Projekt.

Eine Rolle enthält eine Reihe von Berechtigungen, mit denen Sie bestimmte Aktionen für Projektressourcen ausführen können. Projektbearbeiter haben Berechtigungen für Aktionen, die den Status ändern, z. B. die Möglichkeit, Änderungen am OAuth-Zustimmungsbildschirm Ihres Projekts vorzunehmen. Projektinhaber, die alle Bearbeiterberechtigungen haben, können mit dem Projekt verknüpfte Konten hinzufügen oder entfernen oder das Projekt löschen. Projektinhaber können auch Kontext dazu angeben, warum Zahlungsinformationen festgelegt werden können. Project Owners können Zahlungsinformationen für ein Projekt einrichten, das kostenpflichtige APIs verwendet.

Projektinhaber und ‑bearbeiter müssen auf dem Laufenden gehalten werden. Sie können Ihrem Projekt mehrere relevante Konten hinzufügen, um den kontinuierlichen Zugriff auf das Projekt und die zugehörige Wartung zu gewährleisten. Wir senden E-Mails an diese Konten, wenn es Benachrichtigungen zu Ihrem Projekt oder Aktualisierungen unserer Dienste gibt. Google Cloud-Organisationsadministratoren müssen dafür sorgen, dass jedem Projekt in ihrer Organisation ein erreichbarer Kontakt zugeordnet ist. Wenn wir keine aktuellen Kontaktdaten für Ihr Projekt haben, entgehen Ihnen möglicherweise wichtige Nachrichten, die Ihre Aufmerksamkeit erfordern.

Identität korrekt darstellen

Geben Sie einen gültigen App-Namen und optional ein Logo an, das Nutzern angezeigt werden soll. Diese Markeninformationen müssen die Identität Ihrer Anwendung genau darstellen. Informationen zum App-Branding werden auf der OAuth-Seite „Branding“ konfiguriert.

Bei Produktions-Apps müssen die auf dem OAuth-Zustimmungsbildschirm definierten Markeninformationen überprüft werden, bevor sie Nutzern angezeigt werden. Nutzer gewähren Ihrer App möglicherweise eher Zugriff, nachdem die Markenüberprüfung abgeschlossen ist. Grundlegende Anwendungsinformationen, einschließlich des Namens der App, der Startseite, der Nutzungsbedingungen und der Datenschutzerklärung, werden Nutzern auf dem Bildschirm für die Gewährung von Zugriffen angezeigt, wenn sie ihre vorhandenen Gewährungen überprüfen, oder Google Workspace-Administratoren, die die App-Nutzung durch ihre Organisation überprüfen.

Google kann den Zugriff auf Google API-Dienste und andere Google-Produkte und ‑Dienste für Apps widerrufen oder sperren, die ihre Identität falsch darstellen oder versuchen, Nutzer zu täuschen.

Nur erforderliche Bereiche anfordern

Während der Entwicklung Ihrer Anwendung haben Sie möglicherweise einen von der API bereitgestellten Beispielbereich verwendet, um einen Proof of Concept in Ihrer Anwendung zu erstellen und mehr über die Features und Funktionen der API zu erfahren. Diese Beispielbereiche fordern oft mehr Informationen an, als für die endgültige Implementierung Ihrer App erforderlich sind, da sie alle möglichen Aktionen für eine bestimmte API abdecken. Beispielsweise kann der Beispielbereich Lese-, Schreib- und Löschberechtigungen anfordern, während Ihre Anwendung nur Leseberechtigungen benötigt. Fordern Sie relevante Berechtigungen an, die auf die kritischen Informationen beschränkt sind, die für die Implementierung Ihrer Anwendung erforderlich sind.

Sehen Sie sich die Referenzdokumentation für die API-Endpunkte an, die Ihre App aufruft, und notieren Sie sich die Bereiche, die für den Zugriff auf die relevanten Daten erforderlich sind, die Ihre App benötigt. Lesen Sie sich die Autorisierungsleitfäden der API durch und beschreiben Sie die Bereiche genauer, um die häufigste Verwendung abzudecken. Wählen Sie den minimalen Datenzugriff aus, den Ihre Anwendung für die zugehörigen Funktionen benötigt.

Weitere Informationen zu dieser Anforderung finden Sie im Abschnitt Nur erforderliche Bereiche anfordern der OAuth 2.0-Richtlinien sowie im Abschnitt Relevante Berechtigungen anfordern der Richtlinie zu Nutzerdaten für Google API-Dienste.

Produktions-Apps, die nicht vertrauliche oder nicht eingeschränkte Bereiche verwenden, zur Überprüfung einreichen

Bei der Authentifizierung eines Nutzers werden über „Über Google anmelden“ keine vertraulichen und eingeschränkten Bereiche angefordert. Wenn Ihre Anwendung „Über Google anmelden“ nur zur Authentifizierung verwendet, müssen Sie sie zur Markenüberprüfung einreichen. Sie können die Überprüfung in der Google Cloud Console auf der Seite „Branding“ beantragen. Diese Überprüfung ist erforderlich, um Markenelemente für die App auf dem Zustimmungsbildschirm anzuzeigen, einschließlich Name, Logo, Datenschutzerklärung, Nutzungsbedingungen und Bereiche.

Wir empfehlen dringend, dass Sie sich bei der Platzierung der Anmeldeschaltfläche an die offiziellen Branding-Richtlinien halten.

Verwenden Sie nur Domains, die Sie besitzen.

Im Rahmen des Überprüfungsverfahrens für den OAuth-Zustimmungsbildschirm von Google müssen alle Domains überprüft werden, die mit der Startseite, der Datenschutzerklärung, den Nutzungsbedingungen, den autorisierten Weiterleitungs-URIs oder den autorisierten JavaScript-Quellen Ihres Projekts verknüpft sind. Sehen Sie sich die Liste der Domains an, die von Ihrer App verwendet werden. Sie finden sie im Abschnitt Autorisierte Domains des Editors für den OAuth-Zustimmungsbildschirm. Ermitteln Sie alle Domains, die Sie nicht besitzen und daher nicht bestätigen können. Verwenden Sie die Google Search Console, um die Inhaberschaft der autorisierten Domains Ihres Projekts zu bestätigen. Verwenden Sie ein Google-Konto, das mit Ihrem API Console-Projekt als Inhaber oder Bearbeiter verknüpft ist.

Wenn Ihr Projekt einen Dienstanbieter mit einer gemeinsamen, gemeinsam genutzten Domain verwendet, empfehlen wir, Konfigurationen zu aktivieren, die die Verwendung Ihrer eigenen Domain ermöglichen. Einige Anbieter bieten an, ihre Dienste einer Subdomain einer Domain zuzuordnen, die Sie bereits besitzen.

Startseite für Produktions-Apps hosten

Jede Produktions-App, die OAuth 2.0 verwendet, muss eine öffentlich zugängliche Startseite haben. Potenzielle Nutzer Ihrer App besuchen möglicherweise die Startseite, um mehr über die Funktionen der App zu erfahren. Bestehende Nutzer können sich die Liste ihrer bestehenden Berechtigungen ansehen und die Startseite Ihrer App aufrufen, um sich daran zu erinnern, dass sie Ihr Angebot weiterhin nutzen.

Die Startseite Ihrer Anwendung muss eine Beschreibung der Funktionen der App sowie Links zu einer Datenschutzerklärung und optionalen Nutzungsbedingungen enthalten. Die Startseite muss sich auf einer bestätigten Domain befinden, deren Inhaber Sie sind.

Sichere Weiterleitungs-URIs und JavaScript-Quellen verwenden

OAuth 2.0-Clients für Webanwendungen müssen ihre Daten mit HTTPS-Weiterleitungs-URIs und JavaScript-Quellen sichern, nicht mit einfachem HTTP. Google kann OAuth-Anfragen ablehnen, die nicht aus einem sicheren Kontext stammen oder nicht in einen sicheren Kontext aufgelöst werden.

Überlegen Sie, welche Drittanbieteranwendungen und ‑skripts Zugriff auf Tokens und andere Nutzeranmeldedaten haben könnten, die an Ihre Seite zurückgegeben werden. Beschränken Sie den Zugriff auf sensible Daten mit Weiterleitungs-URI-Standorten, die auf die Überprüfung und Speicherung von Tokendaten beschränkt sind.

Nächste Schritte

Nachdem Sie sichergestellt haben, dass Ihre App den OAuth 2.0-Richtlinien auf dieser Seite entspricht, finden Sie unter Zur Markenüberprüfung einreichen weitere Informationen zum Überprüfungsprozess.