OAuth 2.0 politikalarına uyma

Bu kılavuzda, uygulamanızı üretime hazırlarken karşılaşılan en yaygın geliştirici sorunlarına nasıl uyum sağlayacağınız açıklanmaktadır.

Genel Bakış

Uyguladığınız çözümü geliştirme ortamınızın dışına, uygulamanızın kullanıcılarına dağıtmaya hazır olduğunuzda Google'ın OAuth 2.0 Politikaları'na uymak için ek adımlar atmanız gerekebilir. Bu kılavuzda, uygulamanızı yayına hazırlarken karşılaşılan en yaygın geliştirici sorunlarına nasıl uyum sağlayacağınızı açıklıyoruz. Bu sayede, mümkün olan en geniş kitleye en az hatayla ulaşabilirsiniz.

Test ve üretim için ayrı projeler kullanma

Google'ın OAuth politikaları, test ve üretim için ayrı projeler gerektirir. Bazı politikalar ve şartlar yalnızca üretim uygulamaları için geçerlidir. Uygulamanızın tüm Google Hesapları tarafından kullanılabilen üretim sürümüne karşılık gelen OAuth istemcilerini içeren ayrı bir proje oluşturup yapılandırmanız gerekebilir.

Üretimde kullanılan Google OAuth istemcileri, aynı uygulamayı test eden veya uygulamanın hatalarını ayıklayan benzer OAuth istemcilerine kıyasla daha kararlı, öngörülebilir ve güvenli bir veri toplama ve depolama ortamı sağlar. Üretim projeniz doğrulama için gönderilebilir ve bu nedenle, üçüncü taraf güvenlik değerlendirmelerini içerebilecek belirli API kapsamları için ek şartlara tabi olabilir.

  1. Google API Konsolu'na gidin. Proje oluştur'u tıklayın, bir ad girin ve Oluştur'u tıklayın.
  2. Bu projede, test katmanınızla ilişkili olabilecek OAuth istemcilerini inceleyin. Mümkünse üretim projenizdeki üretim istemcileri için benzer OAuth istemcileri oluşturun.
  3. İstemcileriniz tarafından kullanılan tüm API'leri etkinleştirin.
  4. Cloud Console'un Markalama sayfasında yeni projenin OAuth kullanıcı rızası ekranı yapılandırmasını inceleyin.

Üretimde kullanılan Google OAuth istemcileri; test ortamları, yönlendirme URI'leri veya yalnızca sizin ya da geliştirme ekibinizin erişebileceği JavaScript kaynakları içermemelidir. Aşağıda bazı örnekler verilmiştir:

  • Bağımsız geliştiricilerin test sunucuları
  • Uygulamanızın test veya yayın öncesi sürümleri

Proje için ilgili kişilerin listesini tutma

Google ve etkinleştirdiğiniz API'ler, hizmetlerinde yapılan değişiklikler veya projeniz ve istemcileri için gereken yeni yapılandırmalar hakkında sizinle iletişime geçebilir. Ekibinizdeki ilgili kişilerin proje yapılandırmanızı düzenleme veya görüntüleme erişimine sahip olduğundan emin olmak için projenizin IAM listelerini inceleyin. Bu hesaplar, projenizde yapılması gereken değişikliklerle ilgili e-postalar da alabilir.

Rol, proje kaynakları üzerinde belirli işlemleri yapmanıza olanak tanıyan bir dizi izin içerir. Proje düzenleyiciler, durumda değişikliğe neden olan işlemler (ör. projenizin OAuth kullanıcı rızası ekranında değişiklik yapma) için izinlere sahiptir. Tüm düzenleyici izinlerine sahip proje sahipleri, projeyle ilişkili hesapları ekleyip kaldırabilir veya projeyi silebilir. Proje sahipleri, fatura bilgilerinin neden ayarlanması gerektiğiyle ilgili bağlam da sağlayabilir. Proje sahipleri, ücretli API'leri kullanan bir proje için fatura bilgilerini ayarlayabilir.

Proje sahipleri ve düzenleyiciler güncel tutulmalıdır. Projeye ve ilgili bakım işlemlerine sürekli erişim sağlamak için projenize birden fazla alakalı hesap ekleyebilirsiniz. Projenizle ilgili bildirimler veya hizmetlerimizle ilgili güncellemeler olduğunda bu hesaplara e-posta göndeririz. Google Cloud kuruluş yöneticileri, kuruluşlarındaki her projeyle ilişkili ulaşılabilir bir iletişim kişisi olduğundan emin olmalıdır. Projeniz için güncel iletişim bilgileriniz yoksa işlem yapmanızı gerektiren önemli mesajları kaçırabilirsiniz.

Kimliğinizi doğru şekilde belirtin

Geçerli bir uygulama adı ve isteğe bağlı olarak kullanıcılara gösterilecek bir logo girin. Bu marka bilgileri, uygulamanızın kimliğini doğru şekilde temsil etmelidir. Uygulama markalama bilgileri, OAuth Markalama sayfasından yapılandırılır.

Üretim uygulamalarında, OAuth kullanıcı rızası ekranınızda tanımlanan marka bilgilerinin kullanıcılara gösterilmeden önce doğrulanması gerekir. Kullanıcılar, marka doğrulamasını tamamladıktan sonra uygulamanıza erişim izni vermeye daha yatkın olabilir. Uygulamanın adı, ana sayfası, hizmet şartları ve gizlilik politikası gibi temel uygulama bilgileri, erişim izni ekranında, mevcut erişim izinlerini incelerken kullanıcılara veya kuruluşlarının uygulama kullanımını inceleyen Google Workspace yöneticilerine gösterilir.

Google, kimliğini yanlış beyan eden veya kullanıcıları aldatmaya çalışan uygulamaların Google API Hizmetleri'ne ve diğer Google ürün ve hizmetlerine erişimini iptal edebilir veya askıya alabilir.

Yalnızca ihtiyacınız olan kapsamları isteyin

Uygulamanızın geliştirme aşamasında, API'nin özellikleri ve işlevleri hakkında daha fazla bilgi edinmek için uygulamanızda bir kavram kanıtlama oluşturmak üzere API tarafından sağlanan örnek bir kapsam kullanmış olabilirsiniz. Bu örnek kapsamlar, belirli bir API için olası tüm işlemlerin kapsamlı bir şekilde ele alınmasını sağladığından genellikle uygulamanızın son uygulamasının ihtiyaç duyduğundan daha fazla bilgi ister. Örneğin, örnek kapsam okuma, yazma ve silme izinleri isterken uygulamanız yalnızca okuma izinleri gerektirebilir. Uygulamanızın işlevlerini yerine getirmesi için gerekli olan kritik bilgilerle sınırlı alakalı izinleri isteyin.

Uygulamanızın çağırdığı API uç noktalarıyla ilgili referans dokümanlarını inceleyin ve uygulamanızın ihtiyaç duyduğu ilgili verilere erişmek için gereken kapsamları not edin. API'nin sunduğu yetkilendirme kılavuzlarını inceleyin ve en yaygın kullanımı içerecek şekilde kapsamlarını daha ayrıntılı olarak açıklayın. Uygulamanızın ilgili özellikleri desteklemek için ihtiyaç duyduğu en az veri erişimini seçin.

Bu şart hakkında daha fazla bilgi için OAuth 2.0 Politikaları'nın Yalnızca ihtiyacınız olan kapsamları isteyin bölümünü ve Google API Hizmetleri Kullanıcı Verileri Politikası'nın İlgili izinleri isteyin bölümünü okuyun.

Hassas olmayan veya kısıtlanmamış kapsamları kullanan üretim uygulamalarını doğrulama için gönderme

Google ile oturum açma özelliği, kullanıcıların kimliğini doğrularken hassas ve kısıtlanmış kapsamlar istemez. Uygulamanız Google ile oturum açma özelliğini yalnızca kimlik doğrulama için kullanıyorsa uygulamanızı marka doğrulaması için göndermeniz gerekir. Google Cloud Console'da Markalama Sayfası'ndan doğrulama isteği gönderebilirsiniz. Bu doğrulama, uygulamanın marka öğelerinin (ad, logo, gizlilik politikası, hizmet şartları ve kapsamlar dahil) kullanıcı rızası ekranında gösterilmesi için gereklidir.

Uygulamanızın, oturum açma düğmesini yerleştirirken resmi markalama kurallarına uymasını kesinlikle öneririz.

Yalnızca sahibi olduğunuz alan adlarını kullanın

Google'ın OAuth kullanıcı rızası ekranı doğrulama süreci, projenizin ana sayfası, gizlilik politikası, hizmet şartları, yetkili yönlendirme URI'leri veya yetkili JavaScript kaynaklarıyla ilişkili tüm alanların doğrulanmasını gerektirir. OAuth kullanıcı rızası ekranı düzenleyicisinin Yetkili alanlar bölümünde özetlenen, uygulamanız tarafından kullanılan alanların listesini inceleyin ve sahibi olmadığınız, dolayısıyla doğrulayamayacağınız alanları belirleyin. Projenizin yetkili alanlarının sahipliğini doğrulamak için Google Search Console'u kullanın. API Konsolu projenizle Sahip veya Düzenleyici olarak ilişkilendirilmiş bir Google Hesabı kullanın.

Projeniz, ortak ve paylaşılan bir alan adına sahip bir servis sağlayıcı kullanıyorsa kendi alan adınızın kullanılmasına izin verecek yapılandırmaları etkinleştirmenizi öneririz. Bazı sağlayıcılar, hizmetlerini sahip olduğunuz bir alanın alt alanıyla eşlemeyi teklif eder.

Üretim uygulamaları için ana sayfa barındırma

OAuth 2.0 kullanan her üretim uygulamasının herkese açık bir ana sayfası olmalıdır. Uygulamanızın potansiyel kullanıcıları, uygulamanın sunduğu özellikler ve işlevler hakkında daha fazla bilgi edinmek için ana sayfayı ziyaret edebilir. Mevcut kullanıcılar, mevcut izinlerinin listesini inceleyebilir ve teklifinizi kullanmaya devam ettiklerini hatırlatmak için uygulamanızın ana sayfasını ziyaret edebilir.

Uygulamanızın ana sayfasında, uygulamanın işlevinin açıklamasının yanı sıra gizlilik politikası ve isteğe bağlı hizmet şartları bağlantıları bulunmalıdır. Ana sayfa, size ait doğrulanmış bir alanda bulunmalıdır.

Güvenli yönlendirme URI'leri ve JavaScript kaynakları kullanma

Web uygulamaları için OAuth 2.0 istemcileri, verilerini düz HTTP yerine HTTPS yönlendirme URI'ları ve JavaScript kaynakları kullanarak güvence altına almalıdır. Google, güvenli bir bağlamdan kaynaklanmayan veya güvenli bir bağlamda çözümlenmeyen OAuth isteklerini reddedebilir.

Hangi üçüncü taraf uygulamalarının ve komut dosyalarının, sayfanıza dönen jetonlara ve diğer kullanıcı kimlik bilgilerine erişebileceğini göz önünde bulundurun. Yalnızca jeton verilerini doğrulayıp depolayan yönlendirme URI konumlarıyla hassas verilere erişimi sınırlandırın.

Sonraki adımlar

Uygulamanızın bu sayfadaki OAuth 2.0 politikalarına uyduğundan emin olduktan sonra doğrulama süreciyle ilgili ayrıntılar için Marka doğrulaması için gönderme bölümüne bakın.