Association de comptes Google avec OAuth

Les comptes sont associés à l'aide des flux implicites et avec code d'autorisation OAuth 2.0, qui sont des normes du secteur.

OAuth 2.1 et PKCE pour les agents

Pour les agents d'IA sans état et les pipelines multimodaux, l'application d'OAuth 2.1 est recommandée.

PKCE (Clé de vérification pour l'échange de code) : doit être utilisé pour sécuriser le flux avec code d'autorisation et empêcher les attaques par interception.
Pas de flux implicite : le flux implicite expose les jetons d'accès dans l'URL, ce qui constitue un risque de sécurité pour les environnements d'agent.

Votre service doit être compatible avec les points de terminaison d'autorisation et d'échange de jetons conformes à OAuth 2.0/2.1.

Dans le flux implicite, Google ouvre votre point de terminaison d'autorisation dans le navigateur de l'utilisateur. Une fois la connexion établie, vous renvoyez un jeton d'accès de longue durée à Google. Ce jeton d'accès est désormais inclus dans chaque requête envoyée par Google.

Dans le flux de code d'autorisation, vous avez besoin de deux points de terminaison :

Le point de terminaison authorization, qui présente l'UI de connexion à vos utilisateurs qui ne sont pas encore connectés. Le point de terminaison d'autorisation crée également un code d'autorisation à durée de vie limitée pour enregistrer le consentement des utilisateurs à l'accès demandé.
Le point de terminaison d'échange de jetons, qui est responsable de deux types d'échanges :
1. Échange un code d'autorisation contre un jeton d'actualisation à longue durée de vie et un jeton d'accès à courte durée de vie. Cet échange se produit lorsque l'utilisateur suit le processus d'association de compte.
2. Échange un jeton d'actualisation à longue durée de vie contre un jeton d'accès à courte durée de vie. Cet échange se produit lorsque Google a besoin d'un nouveau jeton d'accès, car celui qu'il possédait a expiré.

Choisir un flux OAuth 2.0

Bien que le flux implicite soit plus simple à implémenter, Google recommande que les jetons d'accès émis par le flux implicite n'expirent jamais. En effet, l'utilisateur est obligé d'associer de nouveau son compte après l'expiration d'un jeton avec le flux implicite. Si vous avez besoin d'une expiration de jeton pour des raisons de sécurité, nous vous recommandons vivement d'utiliser plutôt le flux de code d'autorisation.

Principes de conception

Cette section décrit les exigences et les recommandations de conception pour l'écran utilisateur que vous hébergez pour les flux d'association OAuth. Une fois appelée par l'application Google, votre plate-forme affiche une page de connexion à Google et un écran de consentement pour l'association de compte à l'utilisateur. L'utilisateur est redirigé vers l'application Google après avoir donné son consentement pour associer les comptes.

Cette figure montre les étapes à suivre pour qu'un utilisateur associe son compte Google à votre système d'authentification. La première capture d'écran montre l'association initiée par l'utilisateur depuis votre plate-forme. La deuxième image montre la connexion de l'utilisateur à Google, tandis que la troisième montre le consentement et la confirmation de l'utilisateur pour associer son compte Google à votre application. La dernière capture d'écran montre un compte utilisateur associé avec succès dans l'application Google. — **Figure 1.** Écrans de connexion à Google et de consentement pour l'association de compte.

Conditions requises

Vous devez indiquer que le compte de l'utilisateur sera associé à Google, et non à un produit Google spécifique comme Google Home ou l'Assistant Google.

Recommandations

Nous vous recommandons d'effectuer les opérations suivantes :

Affichez les règles de confidentialité de Google. Incluez un lien vers les Règles de confidentialité de Google sur l'écran de consentement.
Données à partager : Utilisez un langage clair et concis pour indiquer à l'utilisateur les données dont Google a besoin et pourquoi.
Incitation à l'action claire : Indiquez une incitation à l'action claire sur votre écran de consentement, comme "Accepter et associer". En effet, les utilisateurs doivent comprendre quelles données ils doivent partager avec Google pour associer leurs comptes.
Possibilité d'annuler : Permettez aux utilisateurs de revenir en arrière ou d'annuler s'ils choisissent de ne pas associer leur compte.
Processus de connexion clair : Assurez-vous que les utilisateurs disposent d'une méthode claire pour se connecter à leur compte Google, par exemple des champs pour leur nom d'utilisateur et leur mot de passe ou l'option Se connecter avec Google.
Possibilité de dissocier les comptes. Proposez aux utilisateurs un mécanisme pour dissocier leur compte, par exemple une URL vers les paramètres de leur compte sur votre plate-forme. Vous pouvez également inclure un lien vers le compte Google où les utilisateurs peuvent gérer leur compte associé.
Possibilité de modifier le compte utilisateur Suggérez aux utilisateurs une méthode pour changer de compte. Cela est particulièrement utile si les utilisateurs ont tendance à avoir plusieurs comptes.
- Si un utilisateur doit fermer l'écran d'autorisation pour changer de compte, envoyez une erreur récupérable à Google afin qu'il puisse se connecter au compte sélectionné avec l'association OAuth et le flux implicite.
Incluez votre logo. Affichez le logo de votre entreprise sur l'écran de consentement. Utilisez vos consignes de style pour placer votre logo. Si vous souhaitez ou devez également afficher le logo de Google, consultez Logos et marques déposées.

Créer le projet

Pour créer votre projet afin d'associer des comptes :

Accédez à la console Google APIs.
Cliquez sur Create Project (Créer un projet).
Saisissez un nom ou acceptez la suggestion générée.
Confirmez ou modifiez les champs restants.
Cliquez sur Create (Créer).

Pour afficher l'ID de votre projet :

Accédez à la console Google APIs.
Recherchez votre projet dans le tableau de la page de destination. L'ID du projet s'affiche dans la colonne ID.

Configurer votre écran de consentement OAuth

Le processus d'association de comptes Google inclut un écran de consentement qui indique aux utilisateurs l'application qui demande l'accès à leurs données, le type de données demandé et les conditions applicables. Vous devez configurer votre écran de consentement OAuth avant de générer un ID client Google API.

Ouvrez la page Écran de consentement OAuth de la console Google APIs.
Si vous y êtes invité, sélectionnez le projet que vous venez de créer.
Sur la page "Écran de consentement OAuth", remplissez le formulaire, puis cliquez sur le bouton "Enregistrer".

Nom de l'application : nom de l'application qui demande le consentement. Le nom doit refléter précisément votre application et être cohérent avec le nom de l'application que les utilisateurs voient ailleurs. Le nom de l'application s'affiche sur l'écran de consentement pour l'association de comptes.

Logo de l'application : image sur l'écran de consentement qui aide les utilisateurs à reconnaître votre application. Le logo s'affiche sur l'écran de consentement pour l'association de comptes et dans les paramètres du compte.

Adresse e-mail d'assistance : permet aux utilisateurs de vous contacter s'ils ont des questions sur leur consentement.

Niveaux d'accès pour les API Google : les niveaux d'accès permettent à votre application d'accéder aux données Google privées de vos utilisateurs. Pour le cas d'utilisation de l'association de comptes Google, le niveau d'accès par défaut (e-mail, profil, OpenID) suffit. Vous n'avez pas besoin d'ajouter de niveaux d'accès sensibles. En règle générale, il est préférable de demander les niveaux d'accès de manière incrémentale, au moment où l'accès est requis, plutôt qu'à l'avance. En savoir plus.

Domaines autorisés : pour garantir votre protection et celle de vos utilisateurs, Google limite l'utilisation de domaines autorisés aux applications qui s'authentifient à l'aide d'OAuth. Les liens de vos applications doivent être hébergés sur des domaines autorisés. En savoir plus.

Lien vers la page d'accueil de l'application : page d'accueil de votre application. Doit être hébergée sur un domaine autorisé.

Lien vers les règles de confidentialité de l'application : s'affiche sur l'écran de consentement pour l'association de comptes Google. Doit être hébergé sur un domaine autorisé.

Lien vers les conditions d'utilisation de l'application (facultatif) : doit être hébergé sur un domaine autorisé.

Figure 1 : Écran de consentement pour l'association de comptes Google pour une application fictive, Tunery
Vérifiez l'état de validation. Si votre application doit être validée, cliquez sur le bouton "Envoyer pour validation" pour l'envoyer. Pour en savoir plus, consultez les conditions de validation OAuth.

Implémenter votre serveur OAuth

Valider votre implémentation

Vous pouvez valider votre implémentation à l'aide de l' outil OAuth 2.0 Playground.

Dans l'outil, procédez comme suit :

Cliquez sur Configuration pour ouvrir la fenêtre de configuration OAuth 2.0.
Dans le champ OAuth flow (Flux OAuth), sélectionnez Client-side (Côté client).
Dans le champ OAuth Endpoints (Points de terminaison OAuth), sélectionnez Custom (Personnalisé).
Spécifiez votre point de terminaison OAuth 2.0 et l'ID client que vous avez attribué à Google dans les champs correspondants.
Dans la section Step 1 (Étape 1), ne sélectionnez aucun champ d'application Google. Laissez plutôt ce champ vide ou saisissez un champ d'application valide pour votre serveur (ou une chaîne arbitraire si vous n'utilisez pas de champs d'application OAuth). Lorsque vous avez terminé, cliquez sur Authorize APIs (Autoriser les API).
Dans les sections Step 2 (Étape 2) et Step 3 (Étape 3), parcourez le flux OAuth 2.0 et vérifiez que chaque étape fonctionne comme prévu.

Vous pouvez valider votre implémentation à l'aide de l'outil de démonstration de l'association de comptes Google .