Verifica client OAuth

I client Google OAuth che richiedono determinati ambiti OAuth sensibili sono soggetti alla verifica di Google.

Nota: la verifica non è obbligatoria per i progetti Apps Script il cui proprietario e gli utenti appartengono allo stesso dominio o cliente Google Workspace.

Se non verifichi il client OAuth del progetto di script, gli utenti esterni al tuo dominio vedranno una schermata app non verificata quando tentano di autorizzare lo script. Un flusso di autorizzazione non verificata consente a questi utenti di autorizzare app non verificate e utilizzarle, ma solo dopo aver confermato di aver compreso i rischi. Anche il numero totale di utenti dell'app non verificati è soggetto a limitazioni.

Per ulteriori informazioni, leggi i seguenti articoli:

• App non verificate
• Domande frequenti sulla verifica delle applicazioni OAuth
• Servizi API di Google: norme dati utente

 

Figura 1: schermata App non verificata

Figura 2: flusso di autorizzazione delle app non verificato

 

Questa modifica si applica ai client web OAuth di Google, inclusi quelli utilizzati da tutti i progetti Apps Script. Se verifichi la tua app con Google, puoi rimuovere la schermata dell'app non verificata dal flusso di autorizzazione e dare agli utenti la certezza che la tua app non è dannosa.

App non verificate

Componenti aggiuntivi, app web e altri deployment (ad esempio le app che utilizzano l'API Apps Script) potrebbero richiedere la verifica.

Nota: i componenti aggiuntivi non vengono più verificati nell'ambito della procedura di revisione dei componenti aggiuntivi e devono essere verificati prima di pubblicare un componente aggiuntivo.

Applicabilità

Se l'app utilizza ambiti OAuth sensibili, la schermata dell'app non verificata potrebbe essere visualizzata nell'ambito del flusso di autorizzazione. La sua presenza (e il conseguente flusso di autorizzazione delle app non verificato) dipende dall'account da cui viene pubblicata l'app e dall'account che tenta di utilizzare l'app. Ad esempio, le app pubblicate in una specifica organizzazione di Google Workspace non comportano il flusso di autorizzazione delle app non verificato per gli account in quel dominio, anche se l'app non è stata verificata.

La tabella seguente illustra le situazioni che comportano il flusso di autorizzazione dell'app non verificato:

	Il cliente è verificato	L'editore è un account Google Workspace del cliente A	Lo script si trova in un Drive condiviso del cliente A	Il publisher è un account Gmail
L'utente è un account Google Workspace del cliente A	Flusso di autorizzazione normale	Flusso di autorizzazione normale	Flusso di autorizzazione normale	Flusso di autorizzazione non verificato
L'utente è un account Google Workspace non del cliente A	Flusso di autorizzazione normale	Flusso di autorizzazione non verificato	Flusso di autorizzazione non verificato	Flusso di autorizzazione non verificato
L'utente è un account Gmail^1	Flusso di autorizzazione normale	Flusso di autorizzazione non verificato	Flusso di autorizzazione non verificato	Flusso di autorizzazione non verificato

¹Qualsiasi account Gmail, incluso quello utilizzato per pubblicare l'app.

Limite di utenti

Il numero di utenti che possono autorizzare un'app tramite il flusso dell'app non verificata è limitato per limitare i possibili comportamenti illeciti. Per maggiori dettagli, vedi Limiti per gli utenti delle applicazioni OAuth.

Richiesta di verifica in corso...

Puoi richiedere una verifica del client OAuth utilizzato dalla tua app e del progetto Cloud Platform (Google Cloud) associato. Una volta verificata l'app, gli utenti non vedranno più la schermata dell'app non verificata. Inoltre, la tua app non sarà più soggetta al tetto massimo di utenti.

Requisiti

Per inviare il tuo client OAuth per la verifica, devi soddisfare i seguenti requisiti:

1. Devi possedere un sito web su un dominio. Il sito deve ospitare pagine accessibili pubblicamente che descrivono la tua app e le relative norme sulla privacy. Devi anche verificare la proprietà del sito con Google.

   Nota: non è necessario pubblicare l'app da un account di questo dominio, ma il proprietario del dominio deve essere un editor o il proprietario del progetto di script.

2. Il progetto Google Cloud utilizzato dal progetto di script deve essere un progetto Google Cloud standard per il quale disponi dell'accesso in modifica. Se lo script utilizza il progetto Google Cloud predefinito, devi passare a un progetto Google Cloud standard.

Inoltre, devi disporre dei seguenti asset obbligatori:

• Nome applicazione. Il nome dell'app; viene visualizzato nella schermata per il consenso. Deve corrispondere al nome utilizzato per l'app in altre località, ad esempio nella scheda di Google Workspace Marketplace per le app pubblicate.
• Logo dell'applicazione. Un'immagine JPEG, PNG o BMP del logo dell'app da utilizzare nella schermata per il consenso. Le dimensioni del file non devono superare 1 MB.
• Email per l'assistenza. Questa è un'email visualizzata nella schermata del consenso che gli utenti possono contattare se hanno bisogno di assistenza per l'app. Può essere il tuo indirizzo email o un gruppo Google che possiedi o gestisci.
• Ambiti. L'elenco di tutti gli ambiti utilizzati dalla tua app. Puoi visualizzare i tuoi ambiti nell'editor di Apps Script.
• Domini autorizzati. Questo è un elenco di domini contenenti informazioni sulla tua app. Tutti i link della tua applicazione (come la pagina delle norme sulla privacy obbligatoria) devono essere ospitati su domini autorizzati.
• URL della home page dell'applicazione. La posizione di una home page che descrive la tua app. Questa posizione deve essere ospitata su un dominio autorizzato.
• URL delle norme sulla privacy dell'applicazione. La posizione di una pagina che descrive le norme sulla privacy della tua app. Questa località deve essere ospitata su un dominio autorizzato.

Oltre agli asset obbligatori sopra, puoi fornire facoltativamente un URL dei Termini di servizio dell'applicazione che rimandi a una pagina in cui vengono descritti i Termini di servizio della tua app. Se specificata, la località deve trovarsi in un dominio autorizzato.

Passaggi

1. Se non lo hai già fatto, verifica la proprietà di tutti i domini autorizzati che utilizzi per ospitare le norme sulla privacy del progetto di script e altre informazioni. I proprietari verificati dei domini devono essere editor o proprietari del progetto di script.
2. Nel progetto Apps Script, fai clic su Panoramica . In Ambiti OAuth del progetto, copia gli ambiti utilizzati dal progetto di script.

3. Completa la schermata per il consenso OAuth per il progetto Google Cloud della tua applicazione utilizzando gli asset di testo e URL che hai raccolto.

   1. Elenca i domini autorizzati in cui sono ospitate le informazioni della tua app, ad esempio le relative norme sulla privacy.

   2. Per aggiungere gli ambiti dell'applicazione, fai clic su Aggiungi o rimuovi ambiti. La finestra di dialogo visualizzata tenta di rilevare automaticamente gli ambiti per le API che hai abilitato nella console Google Cloud (ad esempio i servizi avanzati). Puoi selezionare gli ambiti dall'elenco selezionando le caselle corrispondenti.

      Questo elenco rilevato automaticamente non include sempre gli ambiti utilizzati dai servizi integrati di Apps Script. Devi inserire questi ambiti in Aggiungi manualmente gli ambiti.

      Al termine, fai clic su Aggiorna.

4. Una volta inserite tutte le informazioni richieste, fai clic su Salva.

5. Fai clic su Invia per la verifica per avviare una richiesta di verifica.

La maggior parte delle richieste di verifica riceve una risposta entro 24-72 ore. Puoi controllare lo stato di verifica nella parte superiore del modulo della schermata per il consenso OAuth. Una volta confermata la verifica del client OAuth, l'app risulta verificata.

Nota: se la tua app è verificata e in un secondo momento decidi di passare a un altro progetto Google Cloud, devi ripetere questi passaggi per mantenere l'app verificata.