Jeśli Twoja aplikacja prosi o dostęp do interfejsów API Google w celu uzyskiwania dostępu do danych użytkowników Google, przed udostępnieniem aplikacji publicznie po raz pierwszy może być konieczne przeprowadzenie procesu weryfikacji.
To, czy ten wymóg ma zastosowanie do Twojej aplikacji, zależy głównie od 2 czynników:
- Typ danych użytkownika, do których masz dostęp: informacje z publicznego profilu, wpisy w kalendarzu, pliki na Dysku, niektóre dane o zdrowiu i kondycji itp.
- stopień dostępu, jaki jest Ci potrzebny (tylko do odczytu, do odczytu i zapisu itp.);
Gdy używasz OAuth 2.0, aby uzyskać uprawnienia do dostępu do danych z konta Google, używasz ciągów znaków zwanych zakresami, aby określić typ danych, do których chcesz uzyskać dostęp w imieniu użytkownika. Jeśli Twoja aplikacja prosi o zakresy zakwalifikowane jako wrażliwe lub z ograniczeniem, musisz prawdopodobnie przejść proces weryfikacji, chyba że jej użycie kwalifikuje się do wyjątku.
Przykłady zakresów poufnych to odczytywanie wydarzeń zapisanych w Kalendarzu Google, zapisywanie nowego kontaktu w Kontaktach Google lub usuwanie filmu w YouTube. Więcej informacji o dostępnych zakresach i ich klasyfikacji znajdziesz w dokumentacji referencyjnej punktów końcowych interfejsu API wywoływanych przez Twoją aplikację oraz w powiązanych przewodnikach autoryzacji opublikowanych dla tego interfejsu API.
Musisz prosić o zakresy, które wymagają najmniejszego dostępu do danych użytkownika niezbędnych do zapewnienia tej funkcji. Na przykład aplikacja, która tylko odczytuje dane, nie może prosić o dostęp do odczytu, zapisu i usuwania treści, gdy interfejs API i powiązane z nim punkty końcowe mają węższy zakres. Dane otrzymywane z interfejsu API Google można używać tylko zgodnie z zasadami tego interfejsu API oraz w sposób opisany w opisie działań aplikacji i w polityce prywatności.
Pamiętaj, aby uwzględnić czas potrzebny na przeprowadzenie weryfikacji w planie wprowadzania aplikacji na rynek lub nowych funkcji, które wymagają nowego zakresu. Proces weryfikacji zakresu danych wrażliwych trwa zwykle 3–5 dni roboczych. Pamiętaj, że aplikacja może przejść weryfikację marki jako podzbiór danych w ramach prośby o weryfikację zakresu z danymi wrażliwymi.
Omówienie zakresów wrażliwych
Zakresy wrażliwe wymagają sprawdzenia przez Google, zanim dowolne konto Google będzie mogło przyznać dostęp. Administratorzy organizacji Google Workspace mogą ograniczyć dostęp do zakresów wrażliwych, aby uniemożliwić dostęp użytkownikom z identyfikatorami klienta OAuth, które organizacja nie oznaczyła jako zaufane.
Korzystanie z zakresu
- Sprawdź zakresy, których używa lub których chcesz używać Twoja aplikacja. Aby sprawdzić, jakie zakresy są używane w Twojej aplikacji, sprawdź jej kod źródłowy pod kątem zakresów wysyłanych z prośbami o autoryzację.
- Upewnij się, że każdy żądany zakres jest niezbędny do wykonywania zamierzonych działań przez funkcję aplikacji, oraz że używa ona jak najmniejszych uprawnień niezbędnych do działania tej funkcji. Interfejs API Google jest zwykle omówiony w dokumentacji referencyjnej na stronie dewelopera Google, która zawiera informacje o zakresie wymaganym do wywołania punktu końcowego lub określonych właściwości. Więcej informacji o wymaganych zakresach dostępu do punktów końcowych interfejsu API, które wywołuje aplikacja, znajdziesz w dokumentacji tych punktów końcowych.
- Dane otrzymane z interfejsu API Google można używać tylko zgodnie z zasadami interfejsu API oraz w sposób opisany w opisie działania aplikacji i w polityce prywatności.
- Więcej informacji o każdym zakresie, w tym o możliwym stanie sensitive or restricted , znajdziesz w dokumentacji interfejsu API.
- Zadeklaruj wszystkie zakresy używane przez aplikację w . Określone przez Ciebie zakresy są grupowane według kategorii wrażliwych lub z ograniczeniem, aby wyróżnić wymaganą dodatkową weryfikację.
- Znajdź najlepszy zakres, który pasuje do danych używanych przez integrację, poznaj jego zastosowanie, potwierdź, że wszystko działa w środowisku testowym, a potem przygotuj się do przesłania danych na weryfikację.
Przygotowanie się do weryfikacji
Wszystkie aplikacje, które korzystają z interfejsów API Google, aby uzyskać dostęp do danych, muszą wykonać te czynności, aby przejść weryfikację marki:
- Sprawdź, czy Twoja aplikacja nie mieści się w żadnym z przypadków użycia opisanych w sekcji Wyjątki od wymagań weryfikacji.
- Upewnij się, że Twoja aplikacja jest zgodna z wymaganiami dotyczącymi marki powiązanych interfejsów API lub usługi. Zapoznaj się na przykład ze wskazówkami dotyczącymi promowania marki w przypadku zakresów logowania się w Google.
- Potwierdź w Google Search Console własność autoryzowanych domen projektu. Użyj konta Google powiązanego z Twoim projektem jako właściciela lub edytującego.
- Upewnij się, że wszystkie informacje dotyczące marki na ekranie zgody OAuth, takie jak nazwa aplikacji, adres e-mail pomocy, URI strony głównej, URI polityki prywatności itp., prawidłowo odzwierciedlają tożsamość aplikacji.
Wymagania dotyczące strony głównej aplikacji
Upewnij się, że strona główna spełnia te wymagania:
- Strona główna musi być dostępna publicznie, a nie tylko dla zalogowanych użytkowników witryny.
- Strona główna musi być wyraźnie związana z aplikacją, która jest w trakcie sprawdzania.
- Linki do strony aplikacji w Google Play lub jej strony na Facebooku nie są uznawane za prawidłowe strony główne aplikacji.
Wymagania dotyczące linku do polityki prywatności aplikacji
Upewnij się, że polityka prywatności aplikacji spełnia te wymagania:
- Polityka prywatności musi być widoczna dla użytkowników, hostowana w tej samej domenie co strona główna aplikacji i powiązana z ekranem zgody OAuth w aplikacji . Pamiętaj, że strona główna musi zawierać opis funkcji aplikacji oraz linki do polityki prywatności i opcjonalnych warunków korzystania z usługi.
- Polityka prywatności musi określać sposób, w jaki aplikacja uzyskuje dostęp do danych użytkowników Google, wykorzystuje je, przechowuje je lub udostępnia. Musisz ograniczyć korzystanie z danych użytkowników Google do działań opisanych w Twojej opublikowanej polityce prywatności.
Jak przesłać aplikację do weryfikacji
Projekt porządkuje wszystkie zasoby. Projekt składa się z zestawu powiązanych kont Google, które mają uprawnienia do wykonywania operacji projektowych, zestawu włączonych interfejsów API oraz ustawień płatności, uwierzytelniania i monitorowania tych interfejsów. Projekt może na przykład zawierać co najmniej 1 klienta OAuth, skonfigurowane interfejsy API do użycia przez tych klientów oraz ekran zgody OAuth, który wyświetla się użytkownikom przed autoryzacją dostępu do aplikacji.
Jeśli którykolwiek z Twoich klientów OAuth nie jest gotowy do wdrożenia, zalecamy usunięcie go z projektu, który wymaga weryfikacji. Możesz to zrobić w .
Aby przesłać dane do weryfikacji, wykonaj te czynności:
- Upewnij się, że Twoja aplikacja jest zgodna z Warunkami korzystania z interfejsów API Google i Zasadami dotyczącymi danych użytkownika w usługach interfejsu API Google.
- Aktualizuj role właściciela i edytującego na powiązanych kontach projektu, a także informacje kontaktowe pomocy dla użytkowników i informacje kontaktowe dewelopera w . Dzięki temu odpowiednie osoby z Twojego zespołu otrzymają powiadomienie o nowych wymaganiach.
- Otwórz OAuth .
- Kliknij przycisk Selektor projektów.
-
W wyświetlonym oknie Select from (Wybierz spośród) wybierz swój projekt. Jeśli nie możesz znaleźć swojego projektu, ale znasz jego identyfikator, możesz utworzyć adres URL w przeglądarce w tym formacie:
?project=[PROJECT_ID]
Zastąp [PROJECT_ID] identyfikatorem projektu, którego chcesz użyć.
- Kliknij przycisk Edytuj aplikację.
- Wpisz niezbędne informacje na stronie ekranu zgody OAuth, a potem kliknij przycisk Zapisz i kontynuuj.
- Aby zadeklarować wszystkie zakresy wymagane przez Twoją aplikację, użyj przycisku Dodaj lub usuń zakresy. W sekcji Zakresy niekrytyczne znajdziesz wstępny zestaw zakresów wymaganych do Logowania przez Google. Dodane zakresy są klasyfikowane jako niewrażliwe. sensitive, or restricted
- Podaj maksymalnie 3 linki do istotnej dokumentacji funkcji w aplikacji.
-
W kolejnych krokach podaj wszelkie dodatkowe informacje o aplikacji, o które Cię poprosimy.
- Prepare a detailed justification for each requested sensitive scope, as well as an explanation
for why a narrower scope isn't sufficient. For example: "My app will use
https://www.googleapis.com/auth/calendarto show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar." -
Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.
- Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
- Show that the OAuth consent screen correctly displays the App Name.
- Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
- To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
- Prepare a detailed justification for each requested sensitive scope, as well as an explanation
for why a narrower scope isn't sufficient. For example: "My app will use
- Jeśli konfiguracja aplikacji wymaga weryfikacji, możesz przesłać aplikację do weryfikacji. Wypełnij wymagane pola i kliknij Prześlij, aby rozpocząć proces weryfikacji.
Gdy prześlesz aplikację, zespół ds. zaufania i bezpieczeństwa wyśle Ci e-maila z dodatkowymi informacjami lub instrukcjami. Sprawdź adresy e-mail w sekcji Informacje kontaktowe dewelopera i adres e-mail pomocy na ekranie zgody OAuth, aby uzyskać dodatkowe informacje. Możesz też wyświetlić stronę ekranu akceptacji OAuth w projekcie, aby sprawdzić jego aktualny stan sprawdzania, w tym czy proces sprawdzania jest wstrzymany, gdy czekamy na Twoją odpowiedź.
Wyjątki od wymagań weryfikacyjnych
Jeśli aplikacja ma być używana w jakimkolwiek ze scenariuszy opisanych w następnych sekcjach, nie musisz jej przesyłać do sprawdzenia.
Do użytku osobistego
Jednym z takich przypadków jest sytuacja, w której jesteś jedynym użytkownikiem aplikacji lub aplikacja jest używana przez niewielką liczbę użytkowników, których znasz osobiście. Ty i niewielka liczba użytkowników możecie przejść przez ekran aplikacji niezweryfikowanej i udostępnić dostęp do aplikacji swoim kontom osobistym.
projekty używane na poziomach rozwoju, testowania lub testów pośrednich.
Aby zapewnić zgodność z zasadami Google OAuth 2.0, zalecamy tworzenie różnych projektów na potrzeby środowisk testowych i produkcyjnych. Zalecamy przesyłanie aplikacji do weryfikacji tylko wtedy, gdy chcesz udostępnić ją każdemu użytkownikowi mającym konto Google. Dlatego jeśli aplikacja jest w fazie programowania, testowania lub stagingu, weryfikacja nie jest wymagana.
Jeśli aplikacja jest w fazie rozwoju lub testów, możesz pozostawić Stan publikacji w domyślnym ustawieniu Testowanie. To ustawienie oznacza, że aplikacja jest nadal w fazie rozwoju i jest dostępna tylko dla użytkowników, których dodasz do listy testowych. Musisz zarządzać listą kont Google, które biorą udział w rozwijaniu lub testowaniu aplikacji.
Tylko dane należące do usługi
Jeśli Twoja aplikacja używa konta usługi tylko do uzyskiwania dostępu do własnych danych i nie ma dostępu do żadnych danych użytkownika (połączonych z kontem Google), nie musisz przesyłać aplikacji do weryfikacji.
Więcej informacji o kontach usługi znajdziesz w dokumentacji Google Cloud na temat kont usługi. Instrukcje korzystania z konta usługi znajdziesz w artykule Używanie protokołu OAuth 2.0 w aplikacjach międzyserwerowych.
Jest przeznaczony tylko do użytku wewnętrznego
Oznacza to, że aplikacja jest używana tylko przez osoby z Twojej organizacji korzystającej z Google Workspace lub Cloud Identity. Projekt musi należeć do organizacji, a jego ekran akceptacji OAuth musi być skonfigurowany dla typu użytkownika wewnętrznego. W takim przypadku aplikacja może wymagać zatwierdzenia przez administratora organizacji. Więcej informacji znajdziesz w artykule Dodatkowe kwestie dotyczące Google Workspace.
- Dowiedz się więcej o aplikacjach publicznych i wewnętrznych.
- Dowiedz się, jak oznaczyć aplikację jako wewnętrzną, z często zadawanych pytań Jak oznaczyć aplikację jako przeznaczoną tylko do użytku wewnętrznego?
Instalacja w całej domenie
Jeśli planujesz, że Twoja aplikacja będzie kierowana tylko do użytkowników organizacji korzystających z Google Workspace lub Cloud Identity i zawsze będzie używana w ramach instalacji na całą domenę, nie będzie wymagać weryfikacji. Dzieje się tak, ponieważ instalacja w całej domenie umożliwia administratorowi domeny przyznawanie dostępu aplikacjom zewnętrznym i wewnętrznym do danych użytkowników. Tylko administratorzy organizacji mogą dodawać aplikację do listy dozwolonych w swoich domenach.
Więcej informacji o instalowaniu aplikacji w całej domenie znajdziesz w często zadawanych pytaniach Moja aplikacja ma użytkowników z kontami korporacyjnymi z innej domeny Google Workspace.