การยืนยันขอบเขตที่ละเอียดอ่อน

หากแอปขอสิทธิ์ใช้ Google APIs เพื่อเข้าถึงข้อมูลผู้ใช้ Google คุณอาจต้องดำเนินการตามกระบวนการยืนยันให้เสร็จสิ้นก่อนจึงจะเผยแพร่แอปต่อสาธารณะได้เป็นครั้งแรก

ข้อกำหนดนี้มีผลกับแอปของคุณหรือไม่นั้นขึ้นอยู่กับ 2 ปัจจัยหลักๆ ดังนี้

  1. ประเภทข้อมูลผู้ใช้ที่คุณเข้าถึง เช่น ข้อมูลโปรไฟล์สาธารณะ รายการในปฏิทิน ไฟล์ในไดรฟ์ ข้อมูลสุขภาพและการออกกําลังกายบางอย่าง ฯลฯ
  2. ระดับการเข้าถึงที่ต้องการ เช่น อ่านอย่างเดียว อ่านและเขียน ฯลฯ

เมื่อใช้ OAuth 2.0 เพื่อขอสิทธิ์จากบัญชี Google ในการเข้าถึงข้อมูล คุณจะใช้สตริงที่เรียกว่าขอบเขตเพื่อระบุประเภทข้อมูลที่ต้องการเข้าถึงในนามของผู้ใช้ หากแอปขอขอบเขตที่จัดอยู่ในหมวดหมู่มีความละเอียดอ่อนหรือถูกจํากัด คุณอาจต้องทําตามกระบวนการยืนยันให้เสร็จสมบูรณ์ เว้นแต่การใช้งานแอปของคุณจะมีสิทธิ์ได้รับข้อยกเว้น

ตัวอย่างขอบเขตที่ละเอียดอ่อน ได้แก่ การอ่านกิจกรรมที่จัดเก็บไว้ใน Google ปฏิทิน การจัดเก็บรายชื่อติดต่อใหม่ใน Google Contacts หรือการลบวิดีโอ YouTube ดูข้อมูลเพิ่มเติมเกี่ยวกับขอบเขตที่ใช้ได้และการจัดประเภทของขอบเขตได้ที่เอกสารอ้างอิงเกี่ยวกับปลายทาง API ที่เรียกใช้โดยแอปของคุณและคู่มือการให้สิทธิ์ที่เกี่ยวข้องซึ่งเผยแพร่สำหรับ API

คุณต้องขอขอบเขตที่ต้องใช้สิทธิ์เข้าถึงข้อมูลผู้ใช้น้อยที่สุดเพื่อให้ฟังก์ชันการทํางานนั้นทำงานได้ ตัวอย่างเช่น แอปที่อ่านข้อมูลเท่านั้นต้องไม่ขอสิทธิ์เข้าถึงเพื่ออ่าน เขียน และลบเนื้อหาเมื่อมีขอบเขตแคบกว่าสําหรับ API และปลายทางที่เกี่ยวข้อง ข้อมูลที่คุณได้รับจาก Google API ต้องใช้ตามนโยบายของ API และตามวิธีที่คุณแสดงต่อผู้ใช้ในการดําเนินการของแอปและในนโยบายความเป็นส่วนตัวเท่านั้น

อย่าลืมคำนึงถึงเวลาในการยืนยันให้เสร็จสมบูรณ์ไว้ในแผนเปิดตัวแอปหรือฟีเจอร์ใหม่ที่ต้องอาศัยขอบเขตใหม่ โดยทั่วไปกระบวนการยืนยันขอบเขตที่มีความละเอียดอ่อนจะใช้เวลา 3-5 วันทำการ โปรดทราบว่าแอปของคุณอาจมีสิทธิ์ยืนยันแบรนด์ให้เสร็จสมบูรณ์ได้ในฐานะที่เป็นส่วนหนึ่งของคําขอการยืนยันขอบเขตที่มีความละเอียดอ่อน

ทําความเข้าใจขอบเขตที่มีความละเอียดอ่อน

ขอบเขตที่ละเอียดอ่อนต้องได้รับการตรวจสอบโดย Google ก่อน บัญชี Google จึงจะมอบสิทธิ์เข้าถึงได้ ผู้ดูแลระบบองค์กร Google Workspace อาจจํากัดการเข้าถึงขอบเขตที่มีความละเอียดอ่อนเพื่อป้องกันไม่ให้รหัสไคลเอ็นต์ OAuth ที่องค์กรไม่ได้ทําเครื่องหมายว่าเชื่อถือได้อย่างชัดเจนเข้าถึง

ทำความเข้าใจการใช้ขอบเขต

  • ตรวจสอบขอบเขตที่แอปใช้หรือคุณต้องการใช้ หากต้องการดูการใช้ขอบเขตที่มีอยู่ ให้ตรวจสอบซอร์สโค้ดของแอปเพื่อหาขอบเขตที่ส่งมาพร้อมกับคำขอการให้สิทธิ์
  • พิจารณาว่าขอบเขตที่ขอแต่ละรายการจําเป็นสําหรับการดำเนินการที่ต้องการของฟีเจอร์แอปและใช้สิทธิ์ขั้นต่ำที่จําเป็นเพื่อให้บริการฟีเจอร์ โดยปกติแล้ว Google API จะมีเอกสารอ้างอิงใน หน้านักพัฒนาซอฟต์แวร์ Google ของผลิตภัณฑ์สำหรับปลายทางที่มีขอบเขตที่จำเป็นในการเรียกใช้ปลายทางหรือพร็อพเพอร์ตี้ที่เฉพาะเจาะจงภายใน ดูข้อมูลเพิ่มเติมเกี่ยวกับขอบเขตการเข้าถึงที่จำเป็นสำหรับปลายทาง API ที่แอปเรียกใช้ได้จากเอกสารอ้างอิงของปลายทางเหล่านั้น
  • ข้อมูลที่คุณได้รับจาก Google API ต้องใช้ตามนโยบายของ API และตามวิธีที่คุณแสดงต่อผู้ใช้ในการดําเนินการของแอปและในนโยบายความเป็นส่วนตัวเท่านั้น
  • โปรดอ่านเอกสารประกอบของ API เพื่อดูข้อมูลเพิ่มเติมเกี่ยวกับขอบเขตแต่ละรายการ รวมถึง sensitive or restricted สถานะที่เป็นไปได้
  • ประกาศขอบเขตทั้งหมดที่แอปใช้ในส่วน ของ ระบบจะจัดกลุ่มขอบเขตที่คุณระบุไว้ในหมวดหมู่ที่ละเอียดอ่อนหรือจํากัดเพื่อไฮไลต์การยืนยันเพิ่มเติมที่จําเป็น
  • ค้นหาขอบเขตที่ดีที่สุดซึ่งตรงกับข้อมูลที่การผสานรวมใช้ ทําความเข้าใจการใช้งาน ตรวจสอบอีกครั้งว่าทุกอย่างยังคงทํางานในสภาพแวดล้อมการทดสอบ จากนั้นเตรียมส่งเพื่อขอรับการยืนยัน
ตารางจะแสดงชื่อ API, ขอบเขตที่มีความละเอียดอ่อนรายการใดรายการหนึ่ง และคำอธิบายสิ่งที่อยู่ในขอบเขต
รูปที่ 1 ตัวอย่างขอบเขตที่มีความละเอียดอ่อนซึ่งแสดงในหน้าขอบเขตการกําหนดค่าหน้าจอขอความยินยอม OAuth

ขั้นตอนในการเตรียมพร้อมสำหรับการยืนยัน

แอปทั้งหมดที่ใช้ Google APIs เพื่อขอสิทธิ์เข้าถึงข้อมูลต้องทําตามขั้นตอนต่อไปนี้เพื่อดำเนินการยืนยันการใช้แบรนด์ให้เสร็จสมบูรณ์

  1. ยืนยันว่าแอปของคุณไม่อยู่ในกรณีการใช้งานใดๆ ในส่วนข้อยกเว้นของข้อกำหนดในการยืนยัน
  2. ตรวจสอบว่าแอปของคุณเป็นไปตามข้อกำหนดการใช้แบรนด์ของ API หรือผลิตภัณฑ์ที่เกี่ยวข้อง เช่น ดูหลักเกณฑ์การใช้แบรนด์สำหรับขอบเขตของ Google Sign-In
  3. ยืนยันการเป็นเจ้าของโดเมนที่ได้รับอนุญาตของโปรเจ็กต์ใน Google Search Console ใช้บัญชี Google ที่เชื่อมโยงกับ โปรเจ็กต์ในฐานะเจ้าของหรือผู้แก้ไข
  4. ตรวจสอบว่าข้อมูลการสร้างแบรนด์ทั้งหมดในหน้าจอขอความยินยอม OAuth เช่น ชื่อแอป อีเมลการสนับสนุน URI ของหน้าแรก URI ของนโยบายความเป็นส่วนตัว ฯลฯ แสดงถึงตัวตนของแอปอย่างถูกต้อง

ข้อกำหนดของหน้าแรกของแอปพลิเคชัน

ตรวจสอบว่าหน้าแรกเป็นไปตามข้อกำหนดต่อไปนี้

  • หน้าแรกต้องเข้าถึงได้แบบสาธารณะ ไม่ใช่แค่ผู้ใช้ที่เข้าสู่ระบบเว็บไซต์เท่านั้น
  • หน้าแรกต้องมีความเกี่ยวข้องกับแอปที่อยู่ระหว่างการตรวจสอบอย่างชัดเจน
  • ลิงก์ไปยังข้อมูลของแอปใน Google Play Store หรือหน้า Facebook ของแอปจะไม่ถือว่าเป็นหน้าแรกของแอปพลิเคชันที่ถูกต้อง

ข้อกำหนดเกี่ยวกับลิงก์นโยบายความเป็นส่วนตัวของแอปพลิเคชัน

ตรวจสอบว่านโยบายความเป็นส่วนตัวของแอปเป็นไปตามข้อกำหนดต่อไปนี้

  • นโยบายความเป็นส่วนตัวต้องแสดงให้ผู้ใช้เห็น โฮสต์ภายในโดเมนเดียวกับหน้าแรกของแอปพลิเคชัน และลิงก์อยู่ในหน้าจอขอความยินยอม OAuth ของ โปรดทราบว่าหน้าแรกต้องมีคำอธิบายฟังก์ชันการทำงานของแอป รวมถึงลิงก์ไปยังนโยบายความเป็นส่วนตัวและข้อกำหนดในการให้บริการที่ไม่บังคับ
  • นโยบายความเป็นส่วนตัวต้องเปิดเผยวิธีที่แอปพลิเคชันของคุณเข้าถึง ใช้ จัดเก็บ หรือแชร์ข้อมูลผู้ใช้ Google คุณต้องจํากัดการใช้ข้อมูลผู้ใช้ Google ไว้เฉพาะกับแนวทางปฏิบัติที่เปิดเผยไว้ในนโยบายความเป็นส่วนตัวที่เผยแพร่

วิธีส่งแอปเพื่อขอรับการยืนยัน

โปรเจ็กต์จะจัดระเบียบ ทรัพยากรทั้งหมดของคุณ โปรเจ็กต์ประกอบด้วยชุดบัญชี Google ที่เชื่อมโยงซึ่งมีสิทธิ์ดำเนินการในโปรเจ็กต์ ชุด API ที่เปิดใช้ และการตั้งค่าการเรียกเก็บเงิน การตรวจสอบสิทธิ์ และการตรวจสอบสําหรับ API เหล่านั้น เช่น โปรเจ็กต์อาจมีไคลเอ็นต์ OAuth อย่างน้อย 1 ราย กําหนดค่า API สําหรับให้ไคลเอ็นต์เหล่านั้นใช้ และกำหนดค่าหน้าจอขอความยินยอม OAuth ที่แสดงต่อผู้ใช้ก่อนที่จะให้สิทธิ์เข้าถึงแอป

หากไคลเอ็นต์ OAuth ใดยังไม่พร้อมใช้งานจริง เราขอแนะนำให้คุณลบไคลเอ็นต์ดังกล่าวออกจากโปรเจ็กต์ที่ขอการยืนยัน ซึ่งทำได้ใน

หากต้องการส่งข้อมูลเพื่อรับการยืนยัน ให้ทำตามขั้นตอนต่อไปนี้

  1. ตรวจสอบว่าแอปของคุณเป็นไปตามข้อกำหนดในการให้บริการของ Google APIs และนโยบายข้อมูลผู้ใช้ของบริการ Google API
  2. อัปเดตบทบาทเจ้าของและผู้แก้ไขของบัญชีที่เชื่อมโยงกับโปรเจ็กต์ รวมถึงอีเมลการสนับสนุนผู้ใช้และข้อมูลติดต่อของนักพัฒนาแอปในหน้าจอขอความยินยอม OAuth ใน วิธีนี้ช่วยให้มั่นใจว่าสมาชิกที่เหมาะสมในทีมของคุณจะได้รับแจ้งเกี่ยวกับข้อกำหนดใหม่
  3. ไปที่ OAuth
  4. คลิกปุ่มเครื่องมือเลือกโปรเจ็กต์

  5. เลือกโปรเจ็กต์ในกล่องโต้ตอบเลือกจากที่ปรากฏขึ้น หากไม่พบโปรเจ็กต์แต่ทราบรหัสโปรเจ็กต์ ให้สร้าง URL ในเบราว์เซอร์ในรูปแบบต่อไปนี้

    ?project=[PROJECT_ID]

    แทนที่ [PROJECT_ID] ด้วยรหัสโปรเจ็กต์ที่ต้องการใช้

  6. เลือกปุ่มแก้ไขแอป
  7. ป้อนข้อมูลที่จำเป็นในหน้าหน้าจอขอความยินยอม OAuth แล้วเลือกปุ่มบันทึกและดำเนินการต่อ
  8. ใช้ปุ่มเพิ่มหรือนำขอบเขตออกเพื่อประกาศขอบเขตทั้งหมดที่แอปของคุณขอ ชุดขอบเขตเริ่มต้นที่จําเป็นสําหรับ Google Sign-In จะกรอกไว้ล่วงหน้าในส่วนขอบเขตที่ไม่จําเป็นต้องเก็บรักษา ขอบเขตที่เพิ่มจะจัดอยู่ในประเภท "ไม่มีความละเอียดอ่อน" sensitive, or restricted
  9. ระบุลิงก์ไปยังเอกสารประกอบที่เกี่ยวข้องสูงสุด 3 รายการสำหรับฟีเจอร์ที่เกี่ยวข้องในแอป

  10. ระบุข้อมูลเพิ่มเติมที่ขอเกี่ยวกับแอปในขั้นตอนถัดไป

    1. Prepare a detailed justification for each requested sensitive scope, as well as an explanation for why a narrower scope isn't sufficient. For example: "My app will use https://www.googleapis.com/auth/calendar to show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar."

    2. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

      1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
      2. Show that the OAuth consent screen correctly displays the App Name.
      3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
      4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
  11. หากการกำหนดค่าแอปที่คุณระบุต้องมีการยืนยัน คุณจะมีสิทธิ์ส่งแอปเพื่อรับการยืนยัน กรอกข้อมูลในช่องที่ต้องกรอก แล้วคลิกส่งเพื่อเริ่มกระบวนการยืนยันตัวตน

หลังจากส่งแอปแล้ว ทีมความน่าเชื่อถือและความปลอดภัยของ Google จะติดตามผลทางอีเมลพร้อมแจ้งข้อมูลเพิ่มเติมที่ต้องการหรือขั้นตอนที่คุณต้องทำ ตรวจสอบอีเมลของคุณในส่วนข้อมูลติดต่อของนักพัฒนาแอปและอีเมลสนับสนุนของหน้าจอขอความยินยอม OAuth เพื่อดูคำขอข้อมูลเพิ่มเติม นอกจากนี้ คุณยังดูหน้าหน้าจอขอความยินยอม OAuth ของโปรเจ็กต์เพื่อยืนยันสถานะการตรวจสอบปัจจุบันของโปรเจ็กต์ รวมถึงดูว่ากระบวนการตรวจสอบหยุดชั่วคราวหรือไม่ขณะที่เรารอการตอบกลับจากคุณ

ข้อยกเว้นสำหรับข้อกำหนดการยืนยัน

หากแอปของคุณจะใช้ในสถานการณ์ใดก็ตามที่อธิบายไว้ในส่วนต่อไปนี้ คุณไม่จำเป็นต้องส่งแอปเข้ารับการตรวจสอบ

การใช้งานส่วนตัว

กรณีการใช้งานอย่างหนึ่งคือในกรณีที่คุณเป็นผู้ใช้เพียงคนเดียวของแอป หรือมีผู้ใช้เพียงไม่กี่คนที่ใช้แอปของคุณ ซึ่งคุณรู้จักเป็นการส่วนตัว คุณและผู้ใช้จํานวนจํากัดอาจสะดวกที่จะดำเนินการต่อผ่านหน้าจอแอปที่ไม่ได้ยืนยันและมอบสิทธิ์ให้บัญชีส่วนตัวเข้าถึงแอป

โปรเจ็กต์ที่ใช้ในชั้นการพัฒนา การทดสอบ หรือช่วงเตรียมความพร้อม

เราขอแนะนำให้คุณมีโปรเจ็กต์แยกต่างหากสำหรับสภาพแวดล้อมการทดสอบและสภาพแวดล้อมการใช้งานจริงเพื่อปฏิบัติตามนโยบาย Google OAuth 2.0 เราขอแนะนำให้ส่งแอปเพื่อขอรับการยืนยันก็ต่อเมื่อคุณต้องการทำให้แอปพร้อมให้บริการแก่ผู้ใช้ทุกคนที่มีบัญชี Google ดังนั้น หากแอปอยู่ในระยะการพัฒนา การทดสอบ หรือการจัดเตรียม ก็ไม่จําเป็นต้องยืนยัน

หากแอปอยู่ในช่วงการพัฒนาหรือการทดสอบ คุณสามารถปล่อยให้สถานะการเผยแพร่อยู่ในการตั้งค่าเริ่มต้นของการทดสอบ การตั้งค่านี้หมายความว่าแอปของคุณยังอยู่ระหว่างการพัฒนาและพร้อมให้บริการแก่ผู้ใช้ที่คุณเพิ่มลงในรายชื่อผู้ใช้ทดสอบเท่านั้น คุณต้องจัดการรายการบัญชี Google ที่มีส่วนร่วมในการพัฒนาหรือทดสอบแอป

ข้อความเตือนว่า Google ยังไม่ได้ยืนยันแอปที่อยู่ระหว่างการทดสอบ
รูปที่ 2 หน้าจอคำเตือนผู้ทดสอบ

ข้อมูลของบริการเท่านั้น

หากแอปใช้บัญชีบริการเพื่อเข้าถึงเฉพาะข้อมูลของตัวเอง และไม่เข้าถึงข้อมูลผู้ใช้ (ลิงก์กับบัญชี Google) คุณไม่จำเป็นต้องส่งเพื่อขอการยืนยัน

หากต้องการทำความเข้าใจว่าบัญชีบริการคืออะไร โปรดดูบัญชีบริการในเอกสารประกอบของ Google Cloud ดูวิธีการใช้บัญชีบริการได้ที่การใช้ OAuth 2.0 สําหรับแอปพลิเคชันที่มีการโต้ตอบระหว่างเซิร์ฟเวอร์กับเซิร์ฟเวอร์

ใช้ภายในเท่านั้น

ซึ่งหมายความว่าแอปจะมีให้ใช้งานเฉพาะในองค์กร Google Workspace หรือ Cloud Identity เท่านั้น องค์กรต้องเป็นเจ้าของโปรเจ็กต์ และจะต้องกำหนดค่าหน้าจอคำยินยอม OAuth สำหรับผู้ใช้ประเภทภายใน ในกรณีนี้ แอปของคุณอาจต้องได้รับการอนุมัติจากผู้ดูแลระบบขององค์กร โปรดดูข้อมูลเพิ่มเติมที่หัวข้อข้อควรพิจารณาเพิ่มเติมสำหรับ Google Workspace

การติดตั้งทั่วทั้งโดเมน

หากคุณวางแผนให้แอปกำหนดเป้าหมายไปยังผู้ใช้ขององค์กร Google Workspace หรือ Cloud Identity เท่านั้น และใช้การติดตั้งทั่วทั้งโดเมนเสมอ แอปของคุณจะไม่ต้องมีการยืนยันแอป เนื่องจากการติดตั้งทั่วทั้งโดเมนช่วยให้ผู้ดูแลระบบโดเมนมอบสิทธิ์เข้าถึงข้อมูลของผู้ใช้แก่แอปพลิเคชันของบุคคลที่สามและแอปพลิเคชันภายในได้ ผู้ดูแลระบบองค์กรเป็นบัญชีเดียวที่เพิ่มแอปลงในรายการที่อนุญาตเพื่อใช้ในโดเมนได้

ดูวิธีทำให้แอปเป็นแบบติดตั้งทั่วทั้งโดเมนในคำถามที่พบบ่อย แอปพลิเคชันของฉันมีผู้ใช้ที่มีบัญชีองค์กรจากโดเมน Google Workspace อื่น