Xác minh phạm vi bị hạn chế

Một số API của Google (những API chấp nhận phạm vi Nhạy cảm hoặc Bị hạn chế ) có yêu cầu đối với những ứng dụng muốn có quyền truy cập vào dữ liệu người dùng. Dưới đây là các yêu cầu bổ sung đối với phạm vi bị hạn chế, yêu cầu ứng dụng phải chứng minh rằng đây là loại ứng dụng được cho phép và gửi đi các quy trình xem xét bổ sung, trong đó có thể được đánh giá về tính bảo mật.

Khả năng áp dụng của phạm vi bị hạn chế trong một API phụ thuộc chủ yếu vào mức độ truy cập cần thiết để cung cấp một tính năng liên quan trong ứng dụng của bạn: chỉ có thể đọc, chỉ ghi, đọc và ghi, v.v.

Khi dùng OAuth 2.0 để được Tài khoản Google cấp quyền truy cập vào dữ liệu này, bạn sẽ sử dụng chuỗi được gọi là phạm vi (scopes) để chỉ định loại dữ liệu bạn muốn truy cập và mức độ truy cập bạn cần. Nếu ứng dụng của bạn yêu cầu các phạm vi nhạy cảm hoặc bị hạn chế, thì bạn cần hoàn tất quy trình xác minh trừ phi ứng dụng của bạn đủ điều kiện được hưởng trường hợp ngoại lệ.

Phạm vi bị hạn chế có số lượng ít hơn so với phạm vi nhạy cảm. Phần Câu hỏi thường gặp về quy trình Xác minh qua API OAuth chứa danh sách các phạm vi Nhạy cảm và bị hạn chế hiện tại. Các phạm vi này cung cấp quyền truy cập rộng rãi vào dữ liệu người dùng của Google và yêu cầu bạn thực hiện quy trình xác minh phạm vi trước khi yêu cầu các phạm vi đó từ bất kỳ Tài khoản Google nào. Để biết thông tin về yêu cầu này, hãy xem Chính sách dữ liệu người dùng của Dịch vụ API của Google và Các yêu cầu bổ sung đối với các phạm vi API cụ thể hoặc trang dành cho sản phẩm cụ thể của Google dành cho nhà phát triển. Nếu lưu trữ hoặc truyền dữ liệu trong phạm vi bị hạn chế trên máy chủ, thì bạn cần hoàn thành quy trình đánh giá bảo mật.

Tìm hiểu về phạm vi bị hạn chế

Nếu ứng dụng của bạn yêu cầu một phạm vi bị hạn chế nào đó và không đủ điều kiện để được hưởng ngoại lệ, thì bạn cần đáp ứng Yêu cầu bổ sung đối với một số phạm vi API cụ thể trong Chính sách về dữ liệu người dùng của các dịch vụ API của Google hoặc yêu cầu dành riêng cho từng sản phẩm trên Trang dành cho nhà phát triển của Google của sản phẩm. Quy trình xem xét cần chặt chẽ hơn.

Tìm hiểu cách bạn sử dụng phạm vi

• Xem lại các phạm vi mà ứng dụng của bạn dùng hoặc bạn muốn dùng. Để tìm mức sử dụng phạm vi hiện tại của bạn, hãy kiểm tra mã nguồn của ứng dụng để xác định mọi phạm vi được gửi cùng với yêu cầu uỷ quyền.
• Xác định rằng mỗi phạm vi được yêu cầu là cần thiết cho hành động dự định của tính năng trong ứng dụng và sử dụng đặc quyền tối thiểu cần thiết để cung cấp tính năng đó. API Google thường có tài liệu tham khảo trên Trang dành cho nhà phát triển của Google cho các điểm cuối của sản phẩm đó, trong đó có phạm vi cần thiết để gọi điểm cuối hoặc các thuộc tính cụ thể trong đó. Để biết thêm thông tin về phạm vi truy cập cần thiết cho các điểm cuối API mà ứng dụng của bạn gọi, hãy đọc tài liệu tham khảo về các điểm cuối đó. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
• Bạn chỉ được sử dụng dữ liệu mà bạn nhận được từ API của Google theo cách tuân thủ các chính sách của API này và theo cách mà bạn trình bày cho người dùng trong các thao tác của ứng dụng cũng như trong chính sách quyền riêng tư của bạn.
• Hãy tham khảo tài liệu về API để tìm hiểu thêm về từng phạm vi, bao gồm cả trạng thái sensitive or restricted có thể có của phạm vi đó.
• Khai báo tất cả các phạm vi mà ứng dụng của bạn dùng trên trang phạm vi cấu hình màn hình xin phép bằng OAuth của API Console. Các phạm vi mà bạn chỉ định được nhóm thành các danh mục nhạy cảm hoặc bị hạn chế để làm nổi bật mọi hoạt động xác minh bổ sung cần thiết.
• Tìm phạm vi tốt nhất phù hợp với dữ liệu mà hoạt động tích hợp của bạn sử dụng, tìm hiểu cách sử dụng phạm vi đó, xác nhận lại rằng mọi thứ vẫn hoạt động trong môi trường thử nghiệm, sau đó chuẩn bị gửi đi xác minh.

Hãy nhớ tính đến thời gian cần thiết để hoàn tất quy trình xác minh cho kế hoạch phát hành cho ứng dụng của bạn hoặc bất kỳ tính năng mới nào yêu cầu phạm vi mới. Một trong những yêu cầu bổ sung này là cần thiết nếu ứng dụng truy cập hoặc có thể truy cập vào dữ liệu người dùng của Google qua một máy chủ. Trong những trường hợp như vậy, hệ thống phải trải qua quy trình đánh giá bảo mật hằng năm của một bên đánh giá độc lập bên thứ ba đã được Google phê duyệt. Vì lý do này, quy trình xác minh phạm vi bị hạn chế có thể mất vài tuần để hoàn tất. Xin lưu ý rằng trước tiên, tất cả ứng dụng đều phải hoàn tất bước xác minh thương hiệu. Quá trình này thường mất 2-3 ngày làm việc nếu thông tin thương hiệu thay đổi kể từ lần xác minh màn hình xin phép bằng OAuth được phê duyệt gần đây nhất.

Các loại ứng dụng được phép

Một số loại ứng dụng có thể truy cập vào các phạm vi bị hạn chế đối với từng sản phẩm. Bạn có thể tìm thấy các loại ứng dụng trên Trang dành cho nhà phát triển của Google dành riêng cho từng sản phẩm (ví dụ: Chính sách API Gmail).

Bạn có trách nhiệm tìm hiểu và xác định loại ứng dụng của mình. Tuy nhiên, nếu thực sự không chắc chắn về loại ứng dụng của ứng dụng, bạn có thể không chọn phương án cho câu hỏi Bạn sẽ sử dụng tính năng nào? khi gửi ứng dụng để xác minh. Sau đó, nhóm xác minh của Google API sẽ xác định loại đơn đăng ký.

Đánh giá bảo mật

Mọi ứng dụng yêu cầu quyền truy cập vào dữ liệu bị hạn chế của người dùng Google và có khả năng truy cập vào dữ liệu từ hoặc thông qua máy chủ của bên thứ ba đều phải trải qua quy trình đánh giá bảo mật của chuyên gia đánh giá bảo mật do Google lựa chọn. Quy trình đánh giá này giúp đảm bảo an toàn cho dữ liệu của người dùng Google bằng cách xác minh rằng tất cả các ứng dụng truy cập vào dữ liệu người dùng của Google đều chứng minh được khả năng xử lý dữ liệu một cách an toàn và xoá dữ liệu người dùng theo yêu cầu của người dùng.

Để chuẩn hoá hoạt động đánh giá bảo mật của mình, chúng tôi sử dụng App Defense Alliance và khung đánh giá bảo mật ứng dụng đám mây (CASA).

Như đã đề cập trước đó, để duy trì quyền truy cập vào mọi phạm vi bị hạn chế đã xác minh, ứng dụng phải được xác minh lại để tuân thủ và hoàn thành quy trình đánh giá bảo mật ít nhất 12 tháng một lần sau ngày phê duyệt Thư đánh giá (LOA) của người đánh giá. Nếu ứng dụng của bạn thêm một phạm vi bị hạn chế mới thì bạn có thể cần đánh giá lại ứng dụng để đưa vào phạm vi bổ sung nếu ứng dụng không được đưa vào quy trình đánh giá bảo mật trước đó.

Nhóm xem xét của Google sẽ gửi email cho bạn khi đến lúc cần xác nhận lại ứng dụng. Để đảm bảo rằng đúng thành viên trong nhóm của bạn nhận được thông báo về biện pháp thực thi hằng năm này, hãy liên kết các Tài khoản Google khác với API Console dự án của bạn với tư cách là Chủ sở hữu hoặc Người chỉnh sửa. Thông tin này cũng giúp bạn cập nhật email liên hệ của nhà phát triển và hỗ trợ người dùng được chỉ định trong Google API Console OAuth Consent Screen page.

Các bước chuẩn bị cho quy trình xác minh

Tất cả ứng dụng sử dụng API của Google để yêu cầu quyền truy cập vào dữ liệu đều phải thực hiện các bước sau để hoàn tất quy trình xác minh thương hiệu:

1. Xác nhận rằng ứng dụng của bạn không thuộc bất cứ trường hợp sử dụng nào trong phần Ngoại lệ đối với yêu cầu xác minh.
2. Đảm bảo ứng dụng tuân thủ các yêu cầu về nhãn hiệu của sản phẩm hoặc API liên quan. Ví dụ: xem nguyên tắc sử dụng thương hiệu cho phạm vi Đăng nhập bằng Google.
3. Xác minh quyền sở hữu đối với các miền được uỷ quyền của dự án trong Google Search Console. Hãy sử dụng Tài khoản Google liên kết với dự án API Console của bạn với vai trò là Chủ sở hữu hoặc Người chỉnh sửa.
4. Đảm bảo tất cả thông tin thương hiệu trên màn hình xin phép bằng OAuth (chẳng hạn như tên ứng dụng, email hỗ trợ, URI trang chủ, URI chính sách quyền riêng tư, v.v.) thể hiện chính xác danh tính của ứng dụng.

Yêu cầu về trang chủ ứng dụng

Đảm bảo rằng trang chủ của bạn đáp ứng các yêu cầu sau:

• Trang chủ của bạn phải cho phép truy cập công khai, chứ không chỉ dành cho người dùng đã đăng nhập vào trang web.
• Bạn phải thể hiện rõ mức độ liên quan giữa trang chủ với ứng dụng đang được xem xét.
• Các đường liên kết đến trang thông tin của ứng dụng trên Cửa hàng Google Play hoặc trang Facebook của ứng dụng không được coi là trang chủ hợp lệ của ứng dụng.

Yêu cầu đối với đường liên kết đến chính sách quyền riêng tư của ứng dụng

Đảm bảo rằng chính sách quyền riêng tư của ứng dụng đáp ứng các yêu cầu sau:

• Chính sách quyền riêng tư phải hiển thị cho người dùng, được lưu trữ trong cùng một miền với trang chủ của ứng dụng và được liên kết với trên màn hình xin phép bằng OAuth của Google API Console. Xin lưu ý rằng trang chủ phải chứa nội dung mô tả về chức năng của ứng dụng, cũng như các đường liên kết đến chính sách quyền riêng tư và điều khoản dịch vụ không bắt buộc.
• Chính sách quyền riêng tư phải công bố cách thức ứng dụng của bạn truy cập, sử dụng, lưu trữ hoặc chia sẻ dữ liệu người dùng của Google. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. Bạn chỉ được sử dụng dữ liệu người dùng của Google cho những phương thức mà chính sách quyền riêng tư bạn đã phát hành công bố.
• Review example cases of privacy policies that don't meet the Limited Use requirements.

Cách gửi ứng dụng của bạn để xác minh

Google API Console Dự án sắp xếp tất cả tài nguyên API Console của bạn. Một dự án bao gồm một nhóm Tài khoản Google được liên kết có quyền thực hiện hoạt động dự án, một nhóm API đã bật cũng như các chế độ cài đặt thanh toán, xác thực và giám sát cho những API đó. Ví dụ: một dự án có thể chứa một hoặc nhiều ứng dụng OAuth, định cấu hình API để các ứng dụng đó sử dụng và định cấu hình màn hình xin phép bằng OAuth hiển thị với người dùng trước khi họ cho phép truy cập vào ứng dụng của bạn.

Nếu có ứng dụng OAuth chưa sẵn sàng để phát hành chính thức, bạn nên xoá những ứng dụng đó khỏi dự án đang yêu cầu xác minh. Bạn có thể thực hiện việc này trong Google API Console.

Để gửi yêu cầu xác minh, hãy làm theo các bước sau:

1. Đảm bảo ứng dụng tuân thủ Điều khoản dịch vụ về các API của Google và Chính sách dữ liệu người dùng của các dịch vụ API của Google.
2. Luôn cập nhật vai trò chủ sở hữu và người chỉnh sửa của các tài khoản được liên kết trong dự án, cũng như email hỗ trợ người dùng và thông tin liên hệ của nhà phát triển trên màn hình xin phép bằng OAuth trong API Console. Việc này giúp đảm bảo rằng các thành viên chính xác trong nhóm của bạn sẽ nhận được thông báo về mọi yêu cầu mới.
3. Truy cập vào API Console OAuth Consent Screen page.
4. Nhấp vào nút Project selector (Bộ chọn dự án).

5. Trong hộp thoại Chọn từ xuất hiện, hãy chọn dự án của bạn. Nếu không tìm thấy dự án nhưng biết mã dự án, bạn có thể tạo URL trong trình duyệt theo định dạng sau:

   https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

   Thay thế [PROJECT_ID] bằng mã dự án mà bạn muốn sử dụng.

6. Chọn nút Edit App (Chỉnh sửa ứng dụng).
7. Nhập thông tin cần thiết trên trang màn hình xin phép bằng OAuth rồi chọn nút Lưu và tiếp tục.
8. Dùng nút Thêm hoặc xoá phạm vi để khai báo tất cả phạm vi mà ứng dụng của bạn yêu cầu. Một nhóm phạm vi ban đầu cần thiết cho tính năng Đăng nhập bằng Google sẽ được điền sẵn trong mục Phạm vi không nhạy cảm. Các phạm vi đã thêm được phân loại là không nhạy cảm, sensitive, or restricted.
9. Cung cấp tối đa ba đường liên kết đến tài liệu liên quan bất kỳ cho các tính năng liên quan trong ứng dụng.

10. Cung cấp mọi thông tin bổ sung theo yêu cầu về ứng dụng của bạn trong các bước tiếp theo.

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
       5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
11. Nếu cấu hình ứng dụng bạn cung cấp yêu cầu xác minh, bạn có thể gửi ứng dụng đi xác minh. Điền vào các trường bắt buộc rồi nhấp vào Gửi để bắt đầu quy trình xác minh.

Sau khi bạn gửi ứng dụng, Nhóm phụ trách vấn đề Tin cậy và An toàn của Google sẽ liên hệ qua email để cung cấp thêm thông tin mà họ cần hoặc các bước bạn phải hoàn tất. Kiểm tra địa chỉ email của bạn trong phần Thông tin liên hệ của nhà phát triển và email hỗ trợ trên màn hình xin phép bằng OAuth để xem các yêu cầu cung cấp thêm thông tin. Bạn cũng có thể xem trang màn hình xin phép bằng OAuth của dự án để xác nhận trạng thái xem xét hiện tại cho dự án của mình, bao gồm cả việc liệu quá trình xem xét có bị tạm dừng trong khi chúng tôi chờ bạn phản hồi hay không.

Trường hợp ngoại lệ đối với các yêu cầu về việc xác minh

Nếu ứng dụng của bạn sẽ được dùng trong bất kỳ trường hợp nào được mô tả trong các phần sau, bạn không cần gửi ứng dụng đó đi xem xét.

Sử dụng cá nhân

Một trường hợp sử dụng là khi bạn là người dùng duy nhất của ứng dụng hoặc nếu chỉ có một số ít người dùng sử dụng ứng dụng đó, tất cả đều là những người dùng cá nhân mà bạn biết. Bạn và số lượng người dùng giới hạn của mình có thể thoải mái việc di chuyển qua màn hình ứng dụng chưa được xác minh và cấp quyền truy cập vào ứng dụng cho tài khoản cá nhân của bạn.

Lưu ý: Giới hạn người dùng sẽ giới hạn số lượng Tài khoản Google có thể cấp quyền truy cập cho ứng dụng chưa được xác minh của bạn.

Dự án được dùng trong cấp Phát triển, Thử nghiệm hoặc Sắp xếp

Để tuân thủ các chính sách của Google OAuth 2.0, bạn nên có nhiều dự án cho môi trường thử nghiệm và thực tế. Bạn chỉ nên gửi ứng dụng để xác minh nếu muốn cung cấp ứng dụng cho mọi người dùng có Tài khoản Google. Do đó, nếu ứng dụng của bạn đang trong giai đoạn phát triển, kiểm thử hoặc thử nghiệm, thì bạn không cần phải xác minh.

Nếu ứng dụng của bạn đang trong giai đoạn phát triển hoặc thử nghiệm, thì bạn có thể để nguyên Trạng thái xuất bản trong chế độ cài đặt mặc định của Thử nghiệm. Chế độ cài đặt này có nghĩa là ứng dụng của bạn vẫn đang trong quá trình phát triển và chỉ dành cho những người dùng mà bạn đã thêm vào danh sách người dùng thử nghiệm. Bạn phải quản lý danh sách Tài khoản Google liên quan đến quá trình phát triển hoặc thử nghiệm ứng dụng của mình.

Lưu ý: Ứng dụng của bạn vẫn phải tuân theo màn hình cảnh báo dành cho người kiểm thử, như minh hoạ trong hình 1, giới hạn người dùng đang được áp dụng và thời gian tồn tại của mã làm mới bị giới hạn.

Hình 1. Màn hình cảnh báo của người kiểm thử

Chỉ dữ liệu do dịch vụ sở hữu

Nếu ứng dụng của bạn dùng tài khoản dịch vụ chỉ để truy cập vào dữ liệu của ứng dụng đó và không truy cập vào dữ liệu người dùng (liên kết với Tài khoản Google), thì bạn không cần gửi yêu cầu xác minh.

Để tìm hiểu về tài khoản dịch vụ, hãy xem phần Tài khoản dịch vụ trong tài liệu của Google Cloud. Để biết hướng dẫn về cách sử dụng tài khoản dịch vụ, hãy xem phần Sử dụng OAuth 2.0 cho các ứng dụng từ máy chủ đến máy chủ.

Chỉ sử dụng nội bộ

Điều này có nghĩa là chỉ những người trong tổ chức Google Workspace hoặc Cloud Identity của bạn mới dùng ứng dụng này. Dự án phải do tổ chức sở hữu và cần định cấu hình màn hình xin phép bằng OAuth của dự án cho loại người dùng Nội bộ. Trong trường hợp này, ứng dụng của bạn có thể cần được quản trị viên tổ chức phê duyệt. Để biết thêm thông tin, hãy xem bài viết Những điểm khác cần cân nhắc đối với Google Workspace.

• Tìm hiểu thêm về ứng dụng công khai và nội bộ.
• Tìm hiểu cách đánh dấu ứng dụng là nội bộ trong phần Câu hỏi thường gặp Làm cách nào để đánh dấu ứng dụng của bạn là chỉ dành cho nội bộ?

Cài đặt trên toàn miền

Nếu bạn dự định để ứng dụng chỉ nhắm đến người dùng của một tổ chức Google Workspace hoặc Cloud Identity và luôn sử dụng chế độ cài đặt trên toàn miền, thì ứng dụng của bạn sẽ không cần phải xác minh ứng dụng. Điều này là do việc cài đặt trên toàn miền cho phép quản trị viên miền cấp cho các ứng dụng bên thứ ba và ứng dụng nội bộ quyền truy cập vào dữ liệu của người dùng. Quản trị viên tổ chức là những tài khoản duy nhất có thể thêm ứng dụng vào danh sách cho phép để sử dụng trong miền của họ.

Tìm hiểu cách đặt ứng dụng của bạn thành Cài đặt trên toàn miền trong phần Câu hỏi thường gặp Ứng dụng của tôi có người dùng sử dụng tài khoản doanh nghiệp từ một miền Google Workspace khác.