Xác minh phạm vi bị hạn chế

Một số API của Google (những API chấp nhận Nhạy cảm hoặc Phạm vi bị hạn chế) có yêu cầu đối với ứng dụng cần có quyền truy cập vào dữ liệu người dùng. Các yêu cầu bổ sung này đối với phạm vi bị hạn chế yêu cầu ứng dụng chứng minh rằng đó là loại ứng dụng được phép và phải gửi đến xem xét bổ sung, bao gồm đánh giá bảo mật có thể xảy ra.

Việc áp dụng các phạm vi bị hạn chế trong API chủ yếu phụ thuộc vào mức độ truy cập cần thiết để cung cấp một tính năng có liên quan trong ứng dụng: chỉ có thể đọc, chỉ có thể ghi, đọc và ghi, v.v.

Khi dùng OAuth 2.0 để được Tài khoản Google cho phép truy cập vào dữ liệu này, bạn sẽ sử dụng chuỗi được gọi là phạm vi để chỉ định loại dữ liệu bạn muốn truy cập và lượng truy cập bạn cần. Nếu ứng dụng của bạn yêu cầu nhạy cảm hoặc bị hạn chế, bạn cần hoàn tất quy trình xác minh trừ phi ứng dụng của bạn đủ điều kiện sử dụng một trường hợp ngoại lệ.

Phạm vi bị hạn chế có số lượng ít hơn so với phạm vi nhạy cảm. Câu hỏi thường gặp về quy trình xác minh API OAuth chứa danh sách hiện tại về các phạm vi Nhạy cảm và Bị hạn chế. Những phạm vi này cung cấp quyền truy cập rộng rãi vào dữ liệu người dùng của Google và yêu cầu bạn phải trải qua quy trình xác minh phạm vi trước khi yêu cầu các phạm vi đó từ bất kỳ Tài khoản Google nào. Để biết thông tin về vấn đề này yêu cầu, hãy xem Chính sách dữ liệu người dùng của các dịch vụ API của Google và Các yêu cầu khác đối với những phạm vi API cụ thể hoặc trang dành cho nhà phát triển của Google theo từng sản phẩm. Nếu bạn lưu trữ hoặc truyền phạm vi bị hạn chế dữ liệu trên máy chủ, thì bạn cần hoàn tất quy trình bảo mật .

Tìm hiểu về phạm vi bị hạn chế

Nếu ứng dụng của bạn yêu cầu bất kỳ phạm vi bị hạn chế nào và không đủ điều kiện để được ngoại lệ, thì bạn cần đáp ứng Các yêu cầu bổ sung đối với phạm vi API cụ thể của Chính sách dữ liệu người dùng của Dịch vụ API của Google hoặc các yêu cầu cụ thể về sản phẩm trên trang dành cho nhà phát triển của Google. Điều này đòi hỏi một quy trình xem xét kỹ lưỡng hơn.

Tìm hiểu về việc sử dụng phạm vi

• Xem lại các phạm vi mà ứng dụng dùng hoặc bạn muốn dùng. Để tìm mức sử dụng phạm vi hiện tại, hãy kiểm tra mã nguồn của ứng dụng để tìm mọi phạm vi được gửi cùng với yêu cầu uỷ quyền.
• Xác định rằng mỗi phạm vi được yêu cầu là cần thiết cho các hành động dự kiến của tính năng ứng dụng và sử dụng ít đặc quyền nhất cần thiết để cung cấp tính năng đó. API của Google thường có tài liệu tham khảo trên trang Nhà phát triển Google của sản phẩm cho các điểm cuối, trong đó có phạm vi cần thiết để gọi điểm cuối hoặc các thuộc tính cụ thể trong đó. Để biết thêm thông tin về các phạm vi cần thiết của quyền truy cập vào các điểm cuối API mà ứng dụng của bạn gọi, hãy đọc tài liệu tham khảo về các điểm cuối đó điểm cuối. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
• Bạn chỉ được sử dụng dữ liệu nhận được từ Google API theo đúng các chính sách của API và theo cách bạn thể hiện với người dùng trong hành động của ứng dụng và trong chính sách quyền riêng tư của chúng tôi.
• Tham khảo tài liệu về API để tìm hiểu thêm về từng phạm vi, bao gồm cả tiềm năng của phạm vi Trạng thái sensitive or restricted .
• Khai báo tất cả phạm vi mà ứng dụng của bạn sử dụng trong API Console Màn hình xin phép bằng ứng dụng OAuth trang phạm vi cấu hình. Các phạm vi mà bạn chỉ định được nhóm thành nhạy cảm hoặc bị hạn chế để làm nổi bật mọi quy trình xác minh bổ sung bắt buộc.
• Tìm phạm vi phù hợp nhất với dữ liệu mà chế độ tích hợp sử dụng, tìm hiểu cách sử dụng phạm vi đó, xác nhận lại rằng mọi thứ vẫn hoạt động trong môi trường thử nghiệm, rồi chuẩn bị gửi xác minh.

Hãy nhớ tính thời gian cần thiết để hoàn tất quy trình xác minh trong kế hoạch ra mắt ứng dụng của bạn hoặc bất kỳ tính năng mới nào yêu cầu phạm vi mới. Một trong những yêu cầu bổ sung này sẽ xảy ra nếu ứng dụng truy cập hoặc có khả năng truy cập vào dữ liệu người dùng của Google từ hoặc thông qua máy chủ. Trong những trường hợp này, hệ thống phải trải qua một quy trình đánh giá bảo mật hằng năm của một đơn vị đánh giá độc lập bên thứ ba được Google phê duyệt. Vì lý do này, quy trình xác minh phạm vi bị hạn chế có thể có thể mất vài tuần để hoàn tất. Xin lưu ý rằng tất cả các ứng dụng đều phải hoàn tất thương hiệu xác minh đầu tiên. Quá trình này thường mất 2 đến 3 ngày làm việc, nếu thông tin thương hiệu đã thay đổi kể từ lần xác minh màn hình xin phép bằng OAuth được phê duyệt gần đây nhất.

Các loại ứng dụng được phép

Một số loại ứng dụng có thể truy cập vào phạm vi bị hạn chế của từng sản phẩm. Bạn có thể tìm thấy các loại ứng dụng trên Trang dành cho nhà phát triển của Google dành riêng cho sản phẩm (ví dụ: Chính sách về API Gmail).

Bạn có trách nhiệm tìm hiểu và xác định loại ứng dụng của mình. Tuy nhiên, nếu thực sự không chắc chắn về loại ứng dụng của mình, bạn có thể chọn không các lựa chọn cho câu hỏi Bạn sẽ sử dụng tính năng gì? khi gửi ứng dụng để xác minh. Sau đó, nhóm xác minh của API Google sẽ xác định loại ứng dụng.

Đánh giá bảo mật

Mọi ứng dụng yêu cầu quyền truy cập vào quyền truy cập của người dùng Google dữ liệu bị hạn chế và có thể truy cập dữ liệu từ hoặc thông qua máy chủ của bên thứ ba phải trải qua quy trình đánh giá bảo mật Nhân viên đánh giá bảo mật do Google tham gia. Quy trình đánh giá này giúp bảo vệ dữ liệu của người dùng Google bằng cách xác minh rằng tất cả ứng dụng truy cập vào dữ liệu người dùng trên Google đều có khả năng xử lý dữ liệu một cách an toàn và xoá dữ liệu người dùng theo yêu cầu của người dùng.

Để chuẩn hoá quy trình đánh giá bảo mật của mình, chúng tôi sử dụng App Defense Alliance và khung đánh giá bảo mật ứng dụng đám mây (CASA).

Như đã đề cập trước đó, để duy trì quyền truy cập vào bất kỳ phạm vi bị hạn chế đã xác minh nào, ứng dụng phải xác minh lại để đảm bảo tuân thủ và hoàn tất quy trình đánh giá bảo mật ít nhất 12 tháng một lần sau ngày phê duyệt Thư đánh giá (LOA) của người đánh giá. Nếu ứng dụng của bạn thêm một phạm vi bị hạn chế mới, ứng dụng có thể cần được đánh giá lại để bao gồm phạm vi bổ sung nếu ứng dụng không được đưa vào đánh giá bảo mật.

Nhóm đánh giá của Google sẽ gửi email cho bạn khi đến lúc xác nhận lại ứng dụng của bạn. Để đảm bảo rằng các thành viên phù hợp trong nhóm của bạn sẽ được thông báo về biện pháp thực thi hằng năm này, liên kết các chiến dịch bổ sung Các tài khoản có dự án API Console của bạn trong vai trò Chủ sở hữu hoặc Người chỉnh sửa. Công cụ này cũng giúp bạn luôn nắm được thông tin mới nhất về email hỗ trợ người dùng và email liên hệ của nhà phát triển được chỉ định trong ứng dụng Google API Console OAuth Consent Screen page.

Các bước chuẩn bị cho quy trình xác minh

Tất cả ứng dụng dùng API của Google để yêu cầu quyền truy cập vào dữ liệu đều phải thực hiện các bước sau để hoàn tất quy trình xác minh thương hiệu:

1. Xác nhận rằng ứng dụng của bạn không thuộc bất kỳ trường hợp sử dụng nào trên Phần Các trường hợp ngoại lệ đối với các yêu cầu về việc xác minh.
2. Đảm bảo rằng ứng dụng của bạn tuân thủ các yêu cầu về thương hiệu của API hoặc sản phẩm liên kết. Ví dụ: xem nguyên tắc ghi nhãn cho phạm vi Đăng nhập bằng Google.
3. Xác minh quyền sở hữu đối với dự án miền được uỷ quyền trong Google Search Console. Sử dụng Tài khoản được liên kết với API Console dự án của bạn dưới dạng Chủ sở hữu hoặc Người chỉnh sửa.
4. Đảm bảo tất cả thông tin xây dựng thương hiệu trên màn hình xin phép bằng OAuth, chẳng hạn như tên ứng dụng, khả năng hỗ trợ email, URI trang chủ, URI chính sách quyền riêng tư, v.v. thể hiện chính xác thông tin nhận dạng của ứng dụng.

Yêu cầu đối với trang chủ của ứng dụng

Đảm bảo rằng trang chủ của bạn đáp ứng các yêu cầu sau:

• Trang chủ của bạn phải truy cập được công khai, chứ không chỉ những người dùng đã đăng nhập vào trang web của bạn người dùng.
• Bạn phải nêu rõ mức độ liên quan của trang chủ với ứng dụng đang được xem xét.
• Đường liên kết đến trang thông tin của ứng dụng trên Cửa hàng Google Play hoặc trang Facebook của ứng dụng không được coi là trang chủ ứng dụng hợp lệ.

Yêu cầu về đường liên kết đến chính sách quyền riêng tư của ứng dụng

Đảm bảo rằng chính sách quyền riêng tư của ứng dụng đáp ứng các yêu cầu sau:

• Người dùng phải thấy được chính sách quyền riêng tư, được lưu trữ trong cùng một miền với trang chủ của ứng dụng và được liên kết trên màn hình đồng ý OAuth của Google API Console. Xin lưu ý rằng trang chủ phải bao gồm bản mô tả chức năng của ứng dụng, cũng như các đường liên kết đến chính sách quyền riêng tư và điều khoản dịch vụ không bắt buộc.
• Chính sách quyền riêng tư phải công bố cách ứng dụng của bạn truy cập, sử dụng, lưu trữ hoặc chia sẻ dữ liệu người dùng của Google. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. Bạn phải chỉ sử dụng dữ liệu người dùng Google ở các phương pháp mà bạn đã xuất bản sẽ được công bố.
• Review example cases of privacy policies that don't meet the Limited Use requirements.

Cách gửi ứng dụng để xác minh

Một Google API Console dự án sắp xếp tất cả API Console . Một dự án bao gồm một nhóm Tài khoản Google được liên kết có quyền thực hiện các hoạt động của dự án, một nhóm API đã bật và các chế độ cài đặt thanh toán, xác thực và giám sát cho các API đó. Ví dụ: một dự án có thể chứa một hoặc nhiều ứng dụng OAuth, định cấu hình API để các ứng dụng đó sử dụng và định cấu hình một Màn hình xin phép OAuth hiển thị với người dùng trước khi họ cho phép truy cập vào ứng dụng của bạn.

Nếu có bất kỳ ứng dụng OAuth nào chưa sẵn sàng phát hành công khai, bạn nên xoá các ứng dụng đó khỏi dự án đang yêu cầu xác minh. Bạn có thể thực hiện việc này trong Google API Console.

Để gửi yêu cầu xác minh, hãy làm theo các bước sau:

1. Đảm bảo ứng dụng của bạn tuân thủ Điều khoản dịch vụ API của Google và Chính sách dữ liệu người dùng của các dịch vụ API của Google.
2. Luôn cập nhật vai trò chủ sở hữu và người chỉnh sửa của tài khoản được liên kết trong dự án, cũng như Email hỗ trợ người dùng và thông tin liên hệ của nhà phát triển trên màn hình xin phép bằng OAuth, trong API Console. Điều này giúp đảm bảo rằng những thành viên phù hợp trong sẽ được thông báo về mọi yêu cầu mới.
3. Chuyển đến API Console OAuth Consent Screen page.
4. Nhấp vào nút Bộ chọn dự án.

5. Khi hộp thoại Select from (Chọn từ) vừa xuất hiện, hãy chọn dự án của bạn. Nếu bạn không thể tìm thấy dự án nhưng bạn biết ID dự án của mình, bạn có thể tạo URL trong trình duyệt theo cách sau định dạng:

   https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

   Thay thế [PROJECT_ID] bằng mã dự án mà bạn muốn sử dụng.

6. Chọn nút Chỉnh sửa ứng dụng.
7. Nhập thông tin cần thiết trên trang màn hình xin phép bằng OAuth rồi chọn Lưu và tiếp tục.
8. Dùng nút Thêm hoặc xoá phạm vi để khai báo tất cả phạm vi mà ứng dụng của bạn yêu cầu. Một nhóm phạm vi ban đầu cần thiết cho tính năng Đăng nhập bằng Google được điền sẵn trong Mục Phạm vi không nhạy cảm. Phạm vi đã thêm được phân loại là không nhạy cảm, sensitive, or restricted.
9. Cung cấp tối đa 3 đường liên kết đến tài liệu có liên quan về các tính năng liên quan trong ứng dụng của bạn.

10. Cung cấp mọi thông tin bổ sung được yêu cầu về ứng dụng của bạn trong bước.

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
       5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
11. Nếu cấu hình ứng dụng mà bạn cung cấp yêu cầu xác minh, thì bạn có thể gửi ứng dụng để xác minh. Điền vào các trường bắt buộc rồi nhấp vào Gửi để bắt đầu xác minh.

Sau khi bạn gửi ứng dụng, Nhóm tin cậy và an toàn của Google sẽ liên hệ lại qua email để cung cấp mọi thông tin bổ sung mà họ cần hoặc các bước bạn phải hoàn tất. Kiểm tra địa chỉ email của bạn trong Phần Thông tin liên hệ của nhà phát triển và email hỗ trợ về sự đồng ý sử dụng OAuth của bạn màn hình các yêu cầu cung cấp thêm thông tin. Bạn cũng có thể xem trạng thái đồng ý sử dụng OAuth cho dự án của mình trang màn hình để xác nhận trạng thái xem xét hiện tại của dự án, bao gồm cả việc liệu quy trình xem xét bị tạm dừng trong khi chờ phản hồi của bạn.

Trường hợp ngoại lệ đối với các yêu cầu xác minh

Nếu ứng dụng của bạn sẽ được sử dụng trong bất kỳ trường hợp nào được mô tả trong các phần sau, thì bạn không cần gửi ứng dụng đó để xem xét.

Sử dụng cá nhân

Một trường hợp sử dụng là nếu bạn là người dùng duy nhất của ứng dụng hoặc nếu ứng dụng chỉ được một vài người dùng sử dụng, tất cả những người này đều được biết đến cá nhân bạn. Bạn và số lượng người dùng hạn chế của bạn có thể thấy thoải mái với việc tiến bộ thông qua ứng dụng chưa được xác minh và cấp cho tài khoản cá nhân quyền truy cập vào ứng dụng của bạn.

Lưu ý: A giới hạn người dùng sẽ hạn chế số lượng Tài khoản Google có thể cấp quyền truy cập vào ứng dụng chưa được xác minh.

Dự án dùng trong quá trình Phát triển, Thử nghiệm hoặc Thử nghiệm bậc

Để tuân thủ Chính sách của Google OAuth 2.0, bạn nên có nhiều dự án cho môi trường thử nghiệm và sản xuất. Bạn chỉ nên gửi ứng dụng để xác minh nếu muốn cung cấp ứng dụng cho mọi người dùng có Tài khoản Google. Do đó, nếu ứng dụng của bạn đang trong giai đoạn phát triển, thử nghiệm hoặc thử nghiệm thì việc xác minh là không bắt buộc.

Nếu ứng dụng của bạn đang trong giai đoạn phát triển hoặc thử nghiệm, bạn có thể thoát khỏi Trạng thái xuất bản trong cài đặt mặc định của Kiểm thử. Chế độ cài đặt này có nghĩa là ứng dụng của bạn vẫn đang trong quá trình phát triển và chỉ có sẵn cho những người dùng mà bạn thêm vào danh sách người dùng thử nghiệm. Bạn phải quản lý danh sách Tài khoản Google có liên quan đến quá trình phát triển hoặc thử nghiệm ứng dụng của bạn.

Lưu ý: Ứng dụng của bạn vẫn phải sử dụng màn hình cảnh báo dành cho người kiểm thử, như minh hoạ trong hình 1, giới hạn người dùng đang có hiệu lực và mã làm mới vòng đời bị giới hạn.

Hình 1. Màn hình cảnh báo người kiểm thử

Chỉ dữ liệu do dịch vụ sở hữu

Nếu ứng dụng của bạn chỉ dùng tài khoản dịch vụ để truy cập vào dữ liệu của chính ứng dụng đó mà không truy cập vào bất kỳ người dùng nào (được liên kết với Tài khoản Google), thì bạn không cần gửi để xác minh.

Để tìm hiểu về tài khoản dịch vụ, hãy xem Tài khoản dịch vụ trong Tài liệu của Google Cloud. Để biết hướng dẫn về cách sử dụng tài khoản dịch vụ, hãy xem Sử dụng OAuth 2.0 cho máy chủ đến máy chủ ứng dụng của bạn.

Chỉ sử dụng nội bộ

Tức là chỉ những người trong Google Workspace hoặc Cloud Identity của bạn mới có thể dùng ứng dụng này tổ chức. Dự án phải thuộc sở hữu của tổ chức và màn hình xin phép OAuth của tổ chức đó cần được định cấu hình cho một Người dùng nội bộ . Trong trường hợp này, ứng dụng của bạn có thể cần được quản trị viên tổ chức phê duyệt. Để thông tin khác, xem Bổ sung những điểm cần lưu ý đối với Google Workspace.

• Tìm hiểu thêm về công khai và ứng dụng nội bộ.
• Tìm hiểu cách đánh dấu ứng dụng của bạn là nội bộ trong phần Câu hỏi thường gặp Làm cách nào để đánh dấu ứng dụng của tôi là chỉ dành cho nội bộ?

Cài đặt trên toàn miền

Nếu bạn dự định ứng dụng của mình chỉ nhắm đến người dùng Google Workspace hoặc Cloud Identity và luôn sử dụng trên toàn miền thì ứng dụng của bạn sẽ không yêu cầu xác minh ứng dụng. Điều này là do toàn miền cho phép quản trị viên miền cấp quyền truy cập vào các ứng dụng nội bộ và ứng dụng của bên thứ ba của người dùng . Quản trị viên tổ chức là những tài khoản duy nhất có thể thêm ứng dụng vào danh sách cho phép để sử dụng trong các miền của họ.

Tìm hiểu cách đặt ứng dụng của bạn ở chế độ Cài đặt trên toàn miền trong phần Câu hỏi thường gặp Ứng dụng của tôi có người dùng doanh nghiệp từ một miền Google Workspace khác.