Migra desde el acceso con Google+

Advertencia: Acceso con Google para Android está desactualizado y ya no es compatible. Para garantizar la seguridad y la usabilidad continuas de tu app, migra al Administrador de credenciales hoy mismo. El Administrador de credenciales admite autenticación con llaves de acceso, contraseñas y identidad federada (como Acceder con Google), seguridad más sólida y una experiencia del usuario más coherente.

Importante: El permiso profile.emails.read ahora se clasifica como alcance sensible. Puedes lograr la misma funcionalidad con el alcance de OpenID Connect (OIDC) de email. Para minimizar el impacto en tus usuarios, completa los pasos de esta guía.

Si no completas estos pasos, es posible que a cualquier usuario con un token activo que aún tenga acceso al permiso que eliminamos gradualmente se le muestre un mensaje en la pantalla de la app o el mensaje "Acceso inhabilitado" y reciba una advertencia del Centro de seguridad para quitar el acceso riesgoso a sus datos. Esto ocurre porque el usuario tiene un token activo en el que el permiso de la API ya no está verificado. Si tu aplicación no revoca el token como se describe en los pasos prescritos, es posible que el usuario siga recibiendo una advertencia.

Pasos para minimizar el impacto de los cambios de alcance en los usuarios

1. Si tu aplicación requiere la dirección de correo electrónico de un usuario autenticado y anteriormente usaste profile.emails.read para ese propósito, usa email en su lugar.
2. Obtén la aprobación de profile.emails.read con una solicitud de verificación aprobada. Consulta ¿Cómo envío para la verificación?
3. Revoca el token de usuario anterior para el permiso que se quitará o quita el acceso a la aplicación por completo. Por ejemplo, se debería revocar un token con acceso profile.emails.read. Te recomendamos que apliques la revocación mientras los usuarios estén en la aplicación para obtener su consentimiento de inmediato.
4. Solicita a los usuarios que vuelvan a dar su consentimiento con el alcance nuevo, como email, sin profile.emails.read.
5. Quita el permiso que se eliminará de la configuración de la pantalla de consentimiento de OAuth de las APIs de Google.

La función de Acceso con Google+ dejó de estar disponible por completo el 7 de marzo de 2019.

Se recomienda que los desarrolladores migren al sistema de autenticación de Acceso con Google, que es más integral.

Las sugerencias de migración también están disponibles para la Web.

Para migrar tu app del Acceso con Google+ al Acceso con Google, debes actualizar tu botón de acceso, los permisos solicitados y las instrucciones para recuperar la información de perfil de Google. Consulta nuestra documentación de Acceso con Google para Android para obtener instrucciones completas.

Cuando actualices el botón de acceso, no hagas referencia a G+ ni uses el color rojo. Cumple con nuestros lineamientos actualizados sobre el desarrollo de la marca.

La mayoría de las aplicaciones de Acceso con Google+ solicitaron alguna combinación de los alcances: plus.login, plus.me y plus.profile.emails.read. Si usas GoogleSignInOptions.Builder con la opción DEFAULT_SIGN_IN, solicitarás automáticamente el alcance profile, que proporciona el nombre y la foto de perfil del usuario. Si también quieres la dirección de correo electrónico del usuario, debes llamar a .requestEmail() cuando crees las opciones de Acceso con Google.

Muchos implementadores del Acceso con Google+ usaron el flujo de código. Esto significa que las apps para Android, iOS o JavaScript obtienen un código de autorización de OAuth de Google, y el cliente lo envía de vuelta al servidor, junto con protección contra la falsificación de solicitudes entre sitios. Luego, el servidor valida el código y obtiene tokens de actualización y de acceso para extraer información del perfil del usuario de la API de people.get.

Google ahora recomienda que solicites un token de ID y envíes el token de ID desde tu cliente a tu servidor. Los tokens de ID tienen integradas protecciones contra falsificaciones entre sitios y también se pueden verificar de forma estática en tu servidor, lo que evita una llamada a la API adicional para obtener información del perfil del usuario de los servidores de Google. Sigue las instrucciones para validar los tokens de ID en tu servidor.

Si prefieres usar el flujo de código para obtener información de perfil, puedes hacerlo. Una vez que tu servidor tenga un token de acceso, deberás obtener información de perfil del usuario de los extremos userinfo especificados en nuestro Documento de descubrimiento de acceso. La respuesta de la API tiene un formato diferente al de la respuesta del perfil de Google+, por lo que debes actualizar tu análisis al formato nuevo.

Si usas GoogleAuthUtil.getToken o Plus.API, debes migrate a la API de Sign-In más reciente para obtener una mayor seguridad y una mejor experiencia del usuario.