Mematuhi kebijakan OAuth 2.0

Panduan ini menjelaskan cara mematuhi masalah developer yang paling umum ditemui saat Anda menyiapkan aplikasi untuk produksi.

Ringkasan

Saat Anda siap men-deploy solusi yang diterapkan di luar lingkungan pengembangan ke pengguna aplikasi, Anda mungkin perlu melakukan langkah-langkah tambahan untuk mematuhi Kebijakan OAuth 2.0 Google. Dalam panduan ini, kami menguraikan cara mematuhi masalah developer yang paling umum ditemui saat Anda menyiapkan aplikasi untuk produksi. Hal ini membantu Anda menjangkau audiens seluas mungkin dengan error terbatas.

Menggunakan project terpisah untuk pengujian dan produksi

Kebijakan OAuth Google mewajibkan project terpisah untuk pengujian dan produksi. Beberapa kebijakan dan persyaratan hanya berlaku untuk aplikasi produksi. Anda mungkin perlu membuat dan mengonfigurasi project terpisah yang menyertakan klien OAuth yang sesuai dengan versi produksi aplikasi Anda yang tersedia untuk semua Akun Google.

Klien Google OAuth yang digunakan dalam produksi membantu menyediakan lingkungan pengumpulan dan penyimpanan data yang lebih stabil, dapat diprediksi, dan aman daripada klien OAuth serupa yang menguji atau men-debug aplikasi yang sama. Project produksi Anda dapat mengajukan permohonan verifikasi dan oleh karena itu tunduk pada persyaratan tambahan untuk cakupan API tertentu, yang mungkin mencakup penilaian keamanan pihak ketiga.

  1. Buka Konsol API Google. Klik Create project, masukkan nama, dan klik Create.
  2. Tinjau klien OAuth dalam project ini yang mungkin terkait dengan tingkat pengujian Anda. Jika berlaku, buat klien OAuth yang serupa untuk klien produksi di dalam project produksi Anda.
  3. Aktifkan API apa pun yang digunakan oleh klien Anda.
  4. Tinjau konfigurasi Layar Izin OAuth Anda untuk project baru di halaman Branding Konsol Cloud.

Klien Google OAuth yang digunakan dalam produksi tidak boleh berisi lingkungan pengujian, URI pengalihan, atau origin JavaScript yang hanya tersedia untuk Anda atau tim pengembangan Anda. Berikut ini adalah beberapa contohnya:

  • Server pengujian masing-masing developer
  • Versi pengujian atau pra-rilis aplikasi Anda

Menyimpan daftar kontak yang relevan untuk project

Google, dan setiap API yang Anda aktifkan, mungkin perlu menghubungi Anda terkait perubahan pada layanannya atau konfigurasi baru yang diperlukan untuk project Anda dan kliennya. Tinjau listingan IAM project Anda untuk memastikan orang yang relevan di tim Anda memiliki akses untuk mengedit atau melihat konfigurasi project Anda. Akun ini mungkin juga menerima email tentang perubahan yang diperlukan pada project Anda.

Peran berisi serangkaian izin yang memungkinkan Anda melakukan tindakan tertentu pada resource project. Editor project memiliki izin untuk tindakan yang mengubah status, seperti kemampuan untuk melakukan perubahan pada layar izin OAuth project Anda. Pemilik project yang memiliki semua izin editor dapat menambahkan atau menghapus akun yang terkait dengan project, atau menghapus project. Project Owner juga dapat memberikan konteks mengapa informasi penagihan mungkin ditetapkan. Project Owner dapat menyiapkan informasi penagihan untuk project yang menggunakan API berbayar.

Project owner dan editor harus terus diupdate. Anda dapat menambahkan beberapa akun yang relevan ke project untuk membantu memastikan akses berkelanjutan ke project dan pemeliharaan terkait. Kami mengirim email ke akun tersebut saat ada notifikasi tentang project Anda atau info terbaru tentang layanan kami. Administrator organisasi Google Cloud harus memastikan bahwa kontak yang dapat dihubungi dikaitkan dengan setiap project di organisasi mereka. Jika kami tidak memiliki informasi kontak terbaru untuk project Anda, Anda mungkin melewatkan pesan penting yang memerlukan tindakan Anda.

Representasikan identitas Anda secara akurat

Berikan nama aplikasi yang valid dan, jika perlu, logo untuk ditampilkan kepada pengguna. Informasi merek ini harus merepresentasikan identitas aplikasi Anda secara akurat. Informasi branding aplikasi dikonfigurasi dari halaman Branding OAuth.

Untuk aplikasi produksi, informasi merek yang ditentukan di layar izin OAuth Anda harus diverifikasi sebelum ditampilkan kepada pengguna. Pengguna mungkin lebih cenderung memberikan akses ke aplikasi Anda setelah aplikasi tersebut menyelesaikan verifikasi mereknya. Informasi aplikasi dasar, yang mencakup nama aplikasi, halaman beranda, persyaratan layanan, dan kebijakan privasi, ditampilkan kepada pengguna di layar pemberian izin, saat mereka meninjau pemberian izin yang ada, atau kepada administrator Google Workspace yang meninjau penggunaan aplikasi oleh organisasi mereka.

Google dapat mencabut atau menangguhkan akses ke Layanan Google API serta produk dan layanan Google lainnya untuk aplikasi yang memberikan pernyataan tidak benar terkait identitasnya atau mencoba menipu pengguna.

Hanya minta cakupan yang Anda perlukan

Selama pengembangan aplikasi, Anda mungkin telah menggunakan contoh cakupan yang disediakan oleh API untuk membuat bukti konsep dalam aplikasi guna mempelajari lebih lanjut fitur dan fungsi API. Cakupan contoh ini sering kali meminta informasi lebih banyak daripada yang diperlukan oleh penerapan akhir aplikasi Anda, karena cakupan tersebut memberikan cakupan komprehensif untuk semua kemungkinan tindakan untuk API tertentu. Misalnya, contoh cakupan mungkin meminta izin baca, tulis, dan hapus, sedangkan aplikasi Anda hanya memerlukan izin baca. Minta izin yang relevan yang terbatas pada informasi penting yang diperlukan untuk mengimplementasikan aplikasi Anda.

Tinjau dokumentasi referensi untuk endpoint API yang dipanggil aplikasi Anda dan perhatikan cakupan yang diperlukan untuk mengakses data relevan yang dibutuhkan aplikasi Anda. Tinjau panduan otorisasi yang ditawarkan API dan jelaskan cakupannya secara lebih mendetail untuk menyertakan penggunaan yang paling umum. Pilih akses data paling minimal yang diperlukan aplikasi Anda untuk mendukung fitur terkait.

Untuk mengetahui informasi selengkapnya tentang persyaratan ini, baca bagian Hanya minta cakupan yang Anda perlukan dalam Kebijakan OAuth 2.0, beserta bagian Minta izin yang relevan dalam Kebijakan Data Pengguna Layanan Google API.

Mengirimkan aplikasi produksi yang menggunakan cakupan tidak sensitif atau tidak dibatasi untuk verifikasi

Login dengan Google tidak meminta cakupan sensitif dan dibatasi saat mengautentikasi pengguna. Jika aplikasi Anda menggunakan Login dengan Google hanya untuk autentikasi, Anda harus mengirimkan aplikasi untuk verifikasi merek. Anda dapat mengirimkan untuk verifikasi di Konsol Google Cloud dari Halaman Branding. Verifikasi ini diperlukan untuk menampilkan elemen branding aplikasi—termasuk Nama, Logo, Kebijakan Privasi, Persyaratan Layanan, dan cakupan—di Layar Izin.

Sebaiknya aplikasi Anda mematuhi panduan branding resmi untuk menempatkan tombol Login.

Hanya gunakan domain yang Anda miliki

Proses verifikasi layar izin OAuth Google memerlukan verifikasi semua domain yang terkait dengan halaman beranda, kebijakan privasi, persyaratan layanan, URI pengalihan yang diotorisasi, atau origin JavaScript yang diotorisasi dari project Anda. Tinjau daftar domain yang digunakan oleh aplikasi Anda, yang diringkas di bagian Domain yang diizinkan pada editor layar izin OAuth, dan identifikasi domain yang tidak Anda miliki sehingga tidak dapat diverifikasi. Untuk memverifikasi kepemilikan domain yang diizinkan untuk project Anda, gunakan Google Search Console. Gunakan Akun Google yang terkait dengan project Konsol API Anda sebagai Pemilik atau Editor.

Jika project Anda menggunakan penyedia layanan dengan domain bersama yang umum, sebaiknya aktifkan konfigurasi yang memungkinkan penggunaan domain Anda sendiri. Beberapa penyedia menawarkan untuk memetakan layanan mereka ke subdomain dari domain yang sudah Anda miliki.

Menghosting halaman beranda untuk aplikasi produksi

Setiap aplikasi produksi yang menggunakan OAuth 2.0 harus memiliki halaman beranda yang dapat diakses secara publik. Calon pengguna aplikasi Anda mungkin mengunjungi halaman beranda untuk mempelajari lebih lanjut fitur dan fungsi yang ditawarkan aplikasi. Pengguna lama mungkin meninjau daftar pemberian akses yang ada dan mengunjungi halaman beranda aplikasi Anda sebagai pengingat penggunaan berkelanjutan mereka atas penawaran Anda.

Halaman beranda aplikasi Anda harus menyertakan deskripsi fungsi aplikasi, serta link ke kebijakan privasi dan persyaratan layanan opsional. Halaman beranda harus ada di domain terverifikasi yang Anda miliki.

Menggunakan URI pengalihan dan origin JavaScript yang aman

Klien OAuth 2.0 untuk aplikasi web harus mengamankan data mereka menggunakan URI pengalihan HTTPS dan origin JavaScript, bukan HTTP biasa. Google dapat menolak permintaan OAuth yang tidak berasal dari atau di-resolve ke konteks yang aman.

Pertimbangkan aplikasi dan skrip pihak ketiga mana yang mungkin memiliki akses ke token dan kredensial pengguna lain yang kembali ke halaman Anda. Batasi akses ke data sensitif dengan lokasi URI pengalihan yang dibatasi untuk memverifikasi dan menyimpan data token.

Langkah berikutnya

Setelah memastikan bahwa aplikasi Anda mematuhi kebijakan OAuth 2.0 di halaman ini, lihat Mengirimkan untuk verifikasi merek guna mengetahui detail tentang proses verifikasi.