Alle Apps, die auf Google APIs zugreifen, müssen bestätigen, dass sie ihre Identität und Absicht gemäß der Richtlinie zu Nutzerdaten der API-Dienste von Google korrekt darstellen. Zum Schutz von Ihnen und den gemeinsamen Nutzern von Google und Ihrer Anwendung müssen Ihr Zustimmungsbildschirm und Ihre Anwendung möglicherweise von Google überprüft werden.
Ihre Anwendung muss überprüft werden, wenn sie alle folgenden Kriterien erfüllt:
- In der Google API Console ist die Konfiguration Ihrer App auf den Nutzertyp Extern und den Veröffentlichungsstatus Veröffentlicht festgelegt. Das bedeutet, dass sich Ihre Anwendung in der Produktion befindet und für alle Nutzer mit einem Google-Konto verfügbar ist.
- Sie möchten, dass in Ihrer App auf dem OAuth-Zustimmungsbildschirm ein Logo oder ein Anzeigename präsentiert wird.
Wenn Sie die Markeninformationen Ihrer App bestätigen, können Sie die Wahrscheinlichkeit erhöhen, dass ein Nutzer Ihre Marke erkennt und sich entscheidet, Ihrer App Zugriff zu gewähren. Bestätigte Markeninformationen können auch dazu führen, dass der Zugriff später seltener widerrufen wird, wenn ein Nutzer oder Google Workspace-Administrator Drittanbieter-Apps und ‑Dienste mit Zugriff auf das Konto überprüft. Die automatisierte Markenüberprüfung dauert in der Regel einige Minuten, nachdem Sie auf den Button Branding bestätigen geklickt haben. In einigen Fällen, in denen ein Ergebnis nicht automatisch ermittelt werden kann, wird Ihre App möglicherweise manuell überprüft. Dies dauert in der Regel 2–3 Arbeitstage.
Wenn die Branding-Informationen Ihrer App nicht überprüft werden, kann dies dazu führen, dass Nutzer Ihrer Anfrage nach ihren Daten weniger vertrauen. Das kann zu weniger Nutzerautorisierungen und mehr Widerrufen führen.
OAuth-Zustimmungsbildschirm
Der Zustimmungsbildschirm informiert Nutzer darüber, wer Zugriff auf ihre Daten anfordert und auf welche Art von Daten Ihre Anwendung in ihrem Namen zugreifen muss, wie in Feld 2 von Abbildung 1 dargestellt.
Wenn Ihre App den Markenüberprüfungsprozess durchläuft und genehmigt wird, ist es wahrscheinlicher, dass die Identität und die Richtlinien zu Nutzerdaten Ihrer Anwendung von dem Konto, das die Berechtigung erteilt, klar verstanden werden. Wenn Kontoinhaber genau wissen, worum es geht, ist es wahrscheinlicher, dass sie Ihre Anfragen autorisieren und den Zugriff beibehalten, wenn sie auf der Seite Google-Konto mögliche Widerrufe prüfen. Die Inhalte, die Sie in der Cloud Console auf der Seite für das OAuth-Branding konfigurieren, werden in den folgenden Komponenten angezeigt:
- Name und Logo Ihrer App (wie in Feld 1 von Abbildung 1 dargestellt)
- Ihre Support-E-Mail-Adresse, die angezeigt wird, nachdem der Name Ihrer App ausgewählt wurde (Feld 2 in Abbildung 1)
- Links zu Ihrer Datenschutzerklärung und Ihren Nutzungsbedingungen (Feld 3 in Abbildung 1)
Autorisierte Domains
Im Rahmen des Markenüberprüfungsverfahrens verlangt Google die Überprüfung aller Domains, die mit dem OAuth-Zustimmungsbildschirm und den Anmeldedaten einer Anwendung verknüpft sind. Wir bitten Sie, die Domainkomponente zu bestätigen, die für die Registrierung mit einem öffentlichen Suffix verfügbar ist: die Top-Private-Domain. Beispiel: Auf einem OAuth-Zustimmungsbildschirm, der mit der Startseite https://sub.example.com/product konfiguriert ist, wird der Kontoinhaber aufgefordert, die Inhaberschaft der Domain example.com zu bestätigen.
Der Abschnitt Autorisierte Domains des Editors für den OAuth-Zustimmungsbildschirm muss die privaten Top-Level-Domains enthalten, die in den URIs des Abschnitts App-Domain verwendet werden. Zu diesen Domains gehören die Startseite der App, die Datenschutzerklärung und die Nutzungsbedingungen. Der Abschnitt Autorisierte Domains muss auch die Weiterleitungs-URIs oder JavaScript-Quellen enthalten, die in Ihren OAuth-Clienttypen „Webanwendung“ autorisiert sind.
Bestätigen Sie die Inhaberschaft Ihrer autorisierten Domains über die Google Search Console. Ein Google-Konto mit Inhaberberechtigungen für eine Domain muss mit dem API Console-Projekt verknüpft sein, das diese autorisierte Domain verwendet. Weitere Informationen zur Domainbestätigung in der Google Search Console finden Sie unter Inhaberschaft der Website bestätigen.
Vorbereitung auf die Überprüfung
Alle Apps, die über Google APIs Zugriff auf Daten anfordern, müssen die folgenden Schritte ausführen, um die Markenüberprüfung abzuschließen:
- Prüfen Sie, ob Ihre Anwendung unter einen der Anwendungsfälle im Abschnitt Ausnahmen von den Überprüfungsanforderungen fällt.
- Achten Sie darauf, dass Ihre App die Markenanforderungen der zugehörigen APIs oder Produkte erfüllt. Beispiele finden Sie in den Branding-Richtlinien für Google Log-in-Bereiche.
- Bestätigen Sie die Inhaberschaft der autorisierten Domains Ihres Projekts in der Google Search Console. Verwenden Sie ein Google-Konto, das mit Ihrem API Console-Projekt als Inhaber oder Bearbeiter verknüpft ist.
- Achten Sie darauf, dass alle Branding-Informationen auf dem OAuth-Zustimmungsbildschirm, z. B. der App-Name, die Support-E-Mail-Adresse, der Startseiten-URI und der URI der Datenschutzerklärung, die Identität der App korrekt wiedergeben.
Anforderungen an die Startseite der Anwendung
Ihre Startseite muss die folgenden Anforderungen erfüllen:
- Ihre Startseite muss öffentlich zugänglich sein und darf nicht nur für angemeldete Nutzer Ihrer Website zugänglich sein.
- Die Relevanz Ihrer Startseite für die zu überprüfende App muss klar erkennbar sein.
- Links zum Eintrag Ihrer App im Google Play Store oder auf der Facebook-Seite werden nicht als gültige Startseiten der Anwendung betrachtet.
Anforderungen an den Link zur Datenschutzerklärung der Anwendung
Die Datenschutzerklärung Ihrer App muss die folgenden Anforderungen erfüllen:
- Die Datenschutzerklärung muss für Nutzer sichtbar sein, auf derselben Domain wie die Startseite Ihrer Anwendung gehostet werden und auf dem OAuth-Zustimmungsbildschirm der Google API Console verlinkt sein. Die Startseite muss eine Beschreibung der Funktionen der App sowie Links zur Datenschutzerklärung und optional zu den Nutzungsbedingungen enthalten.
- In der Datenschutzerklärung muss offengelegt werden, wie Ihre Anwendung auf Daten von Google-Nutzern zugreift, diese verwendet, speichert oder weitergibt. Sie müssen die Verwendung von Google-Nutzerdaten auf die in Ihrer veröffentlichten Datenschutzerklärung offengelegten Praktiken beschränken.
App zur Markenüberprüfung einreichen
In einem Google Cloud Console-Projekt werden alle Ihre Cloud Console-Ressourcen organisiert. Ein Projekt umfasst mehrere verknüpfte Google-Konten, die die Berechtigung haben, Projektvorgänge auszuführen, mehrere aktivierte APIs sowie Abrechnungs-, Authentifizierungs- und Überwachungseinstellungen für diese APIs. Ein Projekt kann beispielsweise einen oder mehrere OAuth-Clients enthalten, APIs für die Verwendung durch diese Clients konfigurieren und einen OAuth-Zustimmungsbildschirm konfigurieren, der Nutzern angezeigt wird, bevor sie den Zugriff auf Ihre App autorisieren.
Wenn einer Ihrer OAuth-Clients nicht für die Produktion bereit ist, empfehlen wir, ihn aus dem Projekt zu löschen, für das die Überprüfung angefordert wird. Das können Sie auf der Seite „Kunden“ tun.
So reichen Sie die Informationen zur Überprüfung ein:
- Ihre App muss den Nutzungsbedingungen für Google APIs und der Richtlinie zu Nutzerdaten für Google API-Dienste entsprechen.
- Halten Sie die Inhaber- und Bearbeiterrollen der mit Ihrem Projekt verknüpften Konten sowie die E-Mail-Adresse für den Nutzersupport und die Kontaktdaten des Entwicklers auf dem OAuth-Zustimmungsbildschirm in Ihrer Cloud Console auf dem neuesten Stand. So werden die entsprechenden Mitglieder Ihres Teams über neue Anforderungen informiert.
- Rufen Sie in der Cloud Console die Seite „OAuth-Branding“ auf.
- Klicken Sie auf den Button Projektauswahl.
- Wählen Sie im angezeigten Dialogfeld Auswählen aus Ihr Projekt aus. Wenn Sie Ihr Projekt nicht finden können, aber die Projekt-ID kennen, können Sie in Ihrem Browser eine URL im folgenden Format erstellen:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
- Geben Sie auf der Seite Branding die Branding-Informationen Ihrer App an, einschließlich App-Name, Logo, Kontaktdaten des Entwicklers und relevante Links. Alle Änderungen werden als Branding-Entwurf gespeichert.
- Klicken Sie auf den Button Branding bestätigen, um den Bewertungsprozess zu starten. Die automatisierte Überprüfung ist in der Regel innerhalb weniger Minuten abgeschlossen.
- Prüfen Sie den Status, sobald die Bewertung abgeschlossen ist. Wenn der Vorgang erfolgreich durchgeführt wurde, ändert sich der Status in Bereit für Veröffentlichung. Wenn die automatische Überprüfung fehlschlägt, können Sie sich die erkannten Probleme ansehen und sie entweder beheben oder eine manuelle Überprüfung beantragen.
- Klicken Sie auf den Button Branding veröffentlichen, um das neue Branding zu aktivieren.
- Wenn für Ihre App auch eine Überprüfung für vertrauliche oder eingeschränkte Bereiche erforderlich ist, rufen Sie das OAuth-Überprüfungscenter auf, um den Datenzugriffsstatus zu verfolgen und alle zusätzlich angeforderten Informationen anzugeben, z. B. ein Demonstrationsvideo. Sie müssen einen veröffentlichten Branding-Status haben, bevor Sie eine Überprüfung für den Datenzugriff anfordern können.
- Verwenden Sie die Schaltfläche Bereiche hinzufügen oder entfernen, um alle von Ihrer App angeforderten Bereiche anzugeben. Im Abschnitt Nicht vertrauliche Bereiche sind bereits einige Bereiche vorausgefüllt, die für Google Log-in erforderlich sind. Hinzugefügte Bereiche werden als nicht sensibel, sensibel oder eingeschränkt klassifiziert.
- Stellen Sie bis zu drei Links zu relevanten Dokumentationen für ähnliche Funktionen in Ihrer App bereit.
- Geben Sie in den folgenden Schritten alle weiteren Informationen zu Ihrer App an, die angefordert werden.
Nachdem Sie Ihr Branding veröffentlicht oder eine Anfrage für den Datenzugriff eingereicht haben, meldet sich das Trust & Safety-Team von Google möglicherweise per E‑Mail bei Ihnen, um weitere Informationen anzufordern oder Ihnen die nächsten Schritte mitzuteilen. Prüfen Sie die E-Mail-Adressen im Abschnitt Kontaktdaten des Entwicklers und die Support-E‑Mail-Adresse Ihres OAuth-Zustimmungsbildschirms auf Anfragen nach zusätzlichen Informationen. Sie können auch die Seiten „Branding“ oder „Überprüfungscenter“ Ihres Projekts aufrufen, um den aktuellen Überprüfungsstatus Ihres Projekts zu sehen. Dort wird auch angezeigt, ob der Überprüfungsprozess pausiert ist, während wir auf Ihre Antwort warten.
Ausnahmen von den Überprüfungsanforderungen
Wenn Ihre App in einem der in den folgenden Abschnitten beschriebenen Szenarien verwendet wird, müssen Sie sie nicht zur Überprüfung einreichen.
Private Nutzung
Ein Anwendungsfall ist, wenn Sie der einzige Nutzer Ihrer App sind oder wenn Ihre App nur von wenigen Nutzern verwendet wird, die Sie alle persönlich kennen. Sie und Ihre begrenzte Anzahl von Nutzern können den Bildschirm für nicht überprüfte Apps überspringen und Ihren persönlichen Konten Zugriff auf Ihre App gewähren.
Projekte, die in Entwicklungs-, Test- oder Staging-Stufen verwendet werden
Damit Sie die Google OAuth 2.0-Richtlinien einhalten, empfehlen wir, separate Projekte für Test- und Produktionsumgebungen zu verwenden. Wir empfehlen, Ihre App nur dann zur Überprüfung einzureichen, wenn Sie sie allen Nutzern mit einem Google-Konto zur Verfügung stellen möchten. Wenn sich Ihre App in der Entwicklungs-, Test- oder Staging-Phase befindet, ist daher keine Überprüfung erforderlich.
Wenn sich Ihre App in der Entwicklungs- oder Testphase befindet, können Sie den Veröffentlichungsstatus auf der Standardeinstellung Test belassen. Diese Einstellung bedeutet, dass sich Ihre App noch in der Entwicklung befindet und nur für Nutzer verfügbar ist, die Sie der Liste der Testnutzer hinzufügen. Sie müssen die Liste der Google-Konten verwalten, die an der Entwicklung oder dem Testen Ihrer App beteiligt sind.
Nur Daten, die dem Dienst gehören
Wenn Ihre App ein Dienstkonto verwendet, um nur auf ihre eigenen Daten zuzugreifen, und nicht auf Nutzerdaten (die mit einem Google-Konto verknüpft sind), müssen Sie sie nicht zur Überprüfung einreichen.
Informationen zu Dienstkonten finden Sie in der Google Cloud-Dokumentation unter Dienstkonten. Eine Anleitung zur Verwendung eines Dienstkontos finden Sie unter OAuth 2.0 für Server-zu-Server-Anwendungen verwenden.
Nur für den internen Gebrauch
Das bedeutet, dass die App nur von Personen in Ihrer Google Workspace- oder Cloud Identity-Organisation verwendet wird. Das Projekt muss der Organisation gehören und der OAuth-Zustimmungsbildschirm muss für den Nutzertyp Intern konfiguriert sein. In diesem Fall muss Ihre App möglicherweise von einem Administrator der Organisation genehmigt werden. Weitere Informationen finden Sie unter Zusätzliche Überlegungen für Google Workspace.
- Weitere Informationen zu öffentlichen und internen Anwendungen.
- Informationen dazu, wie Sie Ihre Anwendung als intern kennzeichnen, finden Sie in der FAQ Wie kann ich meine Anwendung als „nur intern“ kennzeichnen?
Domainweite Installation
Wenn Ihre App nur für Nutzer einer Google Workspace- oder Cloud Identity-Organisation gedacht ist und immer die domainweite Installation verwendet wird, ist für Ihre App keine Markenüberprüfung erforderlich. Wenn Ihre App jedoch eingeschränkte oder sensible Bereiche verwendet, ist eine App-Überprüfung erforderlich. Bei einer domainweiten Installation kann ein Domainadministrator Drittanbieter- und internen Anwendungen Zugriff auf die Daten Ihrer Nutzer gewähren. Nur Administratoren der Organisation können die App auf eine Zulassungsliste setzen, damit sie in ihren Domains verwendet werden kann.
Informationen dazu, wie Sie Ihre App domainweit installieren, finden Sie in den FAQs unter Meine Anwendung hat Nutzer mit Arbeitskonten aus einer anderen Google Workspace-Domain.