Wszystkie aplikacje, które uzyskują dostęp do interfejsów API Google, muszą potwierdzić, że dokładnie przedstawiają swoją tożsamość i zamiary, zgodnie z zasadami dotyczącymi danych użytkownika usług interfejsów API Google. Aby chronić Ciebie i użytkowników Google oraz Twojej aplikacji, ekran zgody i aplikacja mogą wymagać weryfikacji przez Google.
Twoja aplikacja wymaga weryfikacji, jeśli spełnia wszystkie te kryteria:
- W Konsoli interfejsów API Google konfiguracja aplikacji jest ustawiona na typ użytkownika Zewnętrzny i stan publikacji Opublikowano. Oznacza to, że aplikacja jest w wersji produkcyjnej i jest dostępna dla każdego użytkownika, który ma konto Google.
- Chcesz, aby Twoja aplikacja wyświetlała logo lub wyświetlaną nazwę na ekranie zgody OAuth.
Jeśli zweryfikujesz informacje o marce swojej aplikacji, możesz zwiększyć prawdopodobieństwo, że użytkownik rozpozna Twoją markę i zdecyduje się przyznać dostęp do aplikacji. Zweryfikowane informacje o marce mogą też zmniejszyć liczbę przypadków, w których użytkownik lub administrator Google Workspace sprawdza aplikacje i usługi innych firm mające dostęp do konta i odbiera im uprawnienia. Automatyczny proces weryfikacji marki trwa zwykle kilka minut po kliknięciu przycisku Zweryfikuj markę. W niektórych przypadkach, gdy nie można automatycznie określić wyniku, aplikacja może zostać poddana procesowi ręcznego sprawdzania, który zwykle trwa 2–3 dni robocze.
Jeśli informacje o marce Twojej aplikacji pozostaną niezweryfikowane, może to spowodować spadek zaufania użytkowników do Twojej prośby o dostęp do ich danych, co może prowadzić do mniejszej liczby autoryzacji użytkowników i większej liczby późniejszych unieważnień.
Ekran zgody OAuth
Ekran zgody informuje użytkowników, kto prosi o dostęp do ich danych i jakiego rodzaju danych potrzebuje aplikacja, aby działać w ich imieniu (jak pokazano w polu 2 na rysunku 1).
Gdy aplikacja przejdzie proces weryfikacji marki i zostanie zatwierdzona, jej tożsamość i zasady dotyczące danych użytkownika będą bardziej zrozumiałe dla konta, które udziela uprawnień. Dzięki temu właściciel konta będzie bardziej skłonny do zatwierdzenia Twoich próśb i utrzymania dostępu, gdy będzie sprawdzać możliwe unieważnienia na stronie Konto Google. Treści skonfigurowane na stronie marki OAuth w konsoli Cloud wypełniają te komponenty:
- nazwę i logo aplikacji (jak w polu 1 na rysunku 1);
- adres e-mail do kontaktu z zespołem pomocy, który pojawia się po wybraniu nazwy aplikacji (pole 2 na rysunku 1);
- Linki do polityki prywatności i warunków korzystania z usługi (pole 3 na rysunku 1).
Autoryzowane domeny
W ramach procesu weryfikacji marki Google wymaga weryfikacji wszystkich domen powiązanych z ekranem zgody OAuth i danymi logowania aplikacji. Prosimy o potwierdzenie komponentu domeny dostępnego do rejestracji w publicznym sufiksie: „najwyższej domeny prywatnej”. Na przykład ekran zgody OAuth, który jest skonfigurowany ze stroną główną aplikacji https://sub.example.com/product, prosi właściciela konta o potwierdzenie własności domeny example.com.
Sekcja Autoryzowane domeny w edytorze ekranu zgody OAuth musi zawierać prywatne domeny najwyższego poziomu, które są używane w identyfikatorach URI w sekcji Domena aplikacji. Te domeny obejmują stronę główną aplikacji, politykę prywatności i warunki korzystania z usługi. Sekcja Autoryzowane domeny musi też zawierać identyfikatory URI przekierowań lub źródła JavaScript autoryzowane w typach klientów OAuth „Aplikacja internetowa”.
Potwierdź własność autoryzowanych domen za pomocą Google Search Console. Konto Google z uprawnieniami właściciela domeny musi być powiązane z projektem w Konsoli interfejsów API, który korzysta z tej autoryzowanej domeny. Więcej informacji o weryfikacji domeny w Google Search Console znajdziesz w artykule Potwierdzanie własności witryny.
Kroki, które należy wykonać, aby przygotować się do weryfikacji
Wszystkie aplikacje, które używają interfejsów API Google do żądania dostępu do danych, muszą wykonać te czynności, aby przejść weryfikację marki:
- Upewnij się, że Twoja aplikacja nie należy do żadnego z przypadków użycia wymienionych w sekcji Wyjątki od wymagań dotyczących weryfikacji.
- Upewnij się, że Twoja aplikacja jest zgodna z wymaganiami dotyczącymi marki powiązanych interfejsów API lub usług. Zobacz na przykład wskazówki dotyczące promowania marki w przypadku zakresów logowania przez Google.
- Potwierdź własność autoryzowanych domen projektu w Google Search Console. Użyj konta Google powiązanego z projektem w Konsoli interfejsów API jako właściciel lub edytujący.
- Upewnij się, że wszystkie informacje o marce na ekranie zgody OAuth, takie jak nazwa aplikacji, adres e-mail pomocy, identyfikator URI strony głównej, identyfikator URI polityki prywatności itp., dokładnie odzwierciedlają tożsamość aplikacji.
Wymagania dotyczące strony głównej aplikacji
Upewnij się, że strona główna spełnia te wymagania:
- Strona główna musi być dostępna publicznie, a nie tylko dla zalogowanych użytkowników witryny.
- Związek strony głównej ze sprawdzaną aplikacją musi być wyraźny.
- Linki do informacji o aplikacji w Sklepie Google Play lub na jej stronie na Facebooku nie są uznawane za prawidłowe strony główne aplikacji.
Wymagania dotyczące linku do polityki prywatności aplikacji
Upewnij się, że polityka prywatności Twojej aplikacji spełnia te wymagania:
- Polityka prywatności musi być widoczna dla użytkowników, hostowana w tej samej domenie co strona główna aplikacji i powiązana z ekranem zgody OAuth w Konsoli interfejsów API Google. Pamiętaj, że strona główna musi zawierać opis funkcji aplikacji, a także linki do polityki prywatności i opcjonalnych warunków korzystania z usługi.
- Polityka prywatności musi informować o tym, w jaki sposób aplikacja uzyskuje dostęp do danych użytkowników Google, wykorzystuje je, przechowuje i udostępnia. Sposób wykorzystywania przez Ciebie danych użytkowników Google musi być ograniczony do praktyk opisanych w opublikowanej polityce prywatności.
Jak przesłać aplikację do weryfikacji marki
Projekt konsoli Google Cloud porządkuje wszystkie zasoby konsoli Cloud. Projekt składa się z powiązanych kont Google, które mają uprawnienia do wykonywania operacji w projekcie, zestawu włączonych interfejsów API oraz ustawień płatności, uwierzytelniania i monitorowania tych interfejsów API. Projekt może na przykład zawierać co najmniej 1 klienta OAuth, skonfigurowane interfejsy API do użycia przez tych klientów oraz skonfigurowany ekran zgody OAuth, który jest wyświetlany użytkownikom, zanim autoryzują dostęp do aplikacji.
Jeśli któryś z Twoich klientów OAuth nie jest gotowy do wdrożenia, zalecamy usunięcie go z projektu, który wymaga weryfikacji. Możesz to zrobić na stronie Klienci.
Aby przesłać prośbę o weryfikację:
- Upewnij się, że Twoja aplikacja jest zgodna z Warunkami korzystania z interfejsów API Google i Zasadami dotyczącymi danych użytkownika w usługach interfejsów API Google.
- Dbaj o to, aby role właściciela i edytującego na kontach powiązanych z projektem były aktualne. To samo dotyczy adresu e-mail do kontaktu z zespołem pomocy dla użytkowników na ekranie zgody OAuth oraz informacji kontaktowych dewelopera w konsoli Cloud. Dzięki temu odpowiedni członkowie zespołu będą powiadamiani o nowych wymaganiach.
- W konsoli Cloud otwórz stronę Marka w sekcji OAuth.
- Kliknij przycisk Selektor projektu.
- W wyświetlonym oknie Wybierz spośród wybierz swój projekt. Jeśli nie możesz znaleźć projektu, ale znasz jego identyfikator projektu, możesz utworzyć adres URL w przeglądarce w tym formacie:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
- Na stronie Branding podaj informacje o marce aplikacji, w tym nazwę aplikacji, logo, dane kontaktowe dewelopera i odpowiednie linki. Wszystkie wprowadzone zmiany zostaną zapisane jako Wersja robocza informacji o marce.
- Kliknij przycisk Zweryfikuj markę, aby rozpocząć proces oceny. Sprawdzanie automatyczne zwykle trwa kilka minut.
- Po zakończeniu oceny sprawdź stan. Jeśli się powiedzie, stan zmieni się na Gotowe do publikacji. Jeśli automatyczna weryfikacja się nie powiedzie, możesz zobaczyć wykryte problemy i je rozwiązać lub poprosić o ręczne sprawdzenie.
- Kliknij przycisk Opublikuj markę, aby udostępnić nową markę.
- Jeśli Twoja aplikacja wymaga też weryfikacji pod kątem zakresów wrażliwych lub z ograniczeniami, otwórz Centrum weryfikacji OAuth, aby sprawdzić stan dostępu do danych i podać dodatkowe informacje, np. film demonstracyjny. Pamiętaj, że zanim poprosisz o weryfikację dostępu do danych, musisz mieć opublikowane elementy marki.
- Użyj przycisku Dodaj lub usuń zakresy, aby zadeklarować wszystkie zakresy, których wymaga Twoja aplikacja. Początkowy zestaw zakresów niezbędnych do logowania przez Google jest wstępnie wypełniony w sekcji Zakresy niepoufne. Dodane zakresy są klasyfikowane jako niewrażliwe, wrażliwe lub z ograniczeniami.
- Podaj maksymalnie 3 linki do istotnej dokumentacji dotyczącej powiązanych funkcji w aplikacji.
- W kolejnych krokach podaj dodatkowe informacje o aplikacji.
Po opublikowaniu informacji o marce lub przesłaniu prośby o dostęp do danych zespół Google ds. zaufania i bezpieczeństwa może wysłać e-maila z prośbą o dodatkowe informacje lub z instrukcjami, co należy zrobić. Sprawdź, czy w sekcji Informacje kontaktowe dewelopera i w adresie e-mail do kontaktu z zespołem pomocy na ekranie zgody OAuth nie ma próśb o dodatkowe informacje. Możesz też sprawdzić strony Centrum marki lub Centrum weryfikacji, aby potwierdzić bieżący stan weryfikacji projektu, w tym to, czy proces weryfikacji został wstrzymany, gdy czekamy na Twoją odpowiedź.
Wyjątki od wymagań dotyczących weryfikacji
Jeśli Twoja aplikacja będzie używana w jednym ze scenariuszy opisanych w poniższych sekcjach, nie musisz przesyłać jej do sprawdzenia.
Do użytku osobistego
Może się tak zdarzyć, jeśli jesteś jedynym użytkownikiem aplikacji lub jeśli korzysta z niej tylko kilka osób, które znasz osobiście. Ty i ograniczona liczba użytkowników możecie przejść przez ekran niezweryfikowanej aplikacji i przyznać kontom osobistym dostęp do aplikacji.
Projekty używane na poziomach programistycznym, testowym lub przejściowym
Aby zachować zgodność z zasadami Google OAuth 2.0, zalecamy używanie różnych projektów w środowiskach testowych i produkcyjnych. Zalecamy przesłanie aplikacji do weryfikacji tylko wtedy, gdy chcesz udostępnić ją wszystkim użytkownikom kont Google. Dlatego jeśli aplikacja jest na etapie programowania, testowania lub stagingu, weryfikacja nie jest wymagana.
Jeśli aplikacja jest w fazie rozwoju lub testowania, możesz pozostawić Stan publikacji w ustawieniu domyślnym Testowanie. To ustawienie oznacza, że aplikacja jest nadal w fazie rozwoju i jest dostępna tylko dla użytkowników, których dodasz do listy użytkowników testowych. Musisz zarządzać listą kont Google, które są zaangażowane w tworzenie lub testowanie aplikacji.
Tylko dane należące do usługi
Jeśli Twoja aplikacja używa konta usługi, aby uzyskiwać dostęp tylko do własnych danych, i nie uzyskuje dostępu do żadnych danych użytkownika (powiązanych z kontem Google), nie musisz przesyłać jej do weryfikacji.
Aby dowiedzieć się, czym są konta usługi, zapoznaj się z artykułem Konta usługi w dokumentacji Google Cloud. Instrukcje korzystania z konta usługi znajdziesz w artykule Używanie protokołu OAuth 2.0 w aplikacjach do połączeń między serwerami.
Tylko do użytku wewnętrznego
Oznacza to, że aplikacja jest używana tylko przez osoby w Twojej organizacji Google Workspace lub Cloud Identity. Projekt musi należeć do organizacji, a jego ekran zgody OAuth musi być skonfigurowany dla wewnętrznego typu użytkownika. W takim przypadku aplikacja może wymagać zatwierdzenia przez administratora organizacji. Więcej informacji znajdziesz w artykule Dodatkowe uwagi dotyczące Google Workspace.
- Dowiedz się więcej o aplikacjach publicznych i wewnętrznych.
- Dowiedz się, jak oznaczyć aplikację jako wewnętrzną, z Najczęstszych pytań Jak oznaczyć aplikację jako przeznaczoną tylko do użytku wewnętrznego?
Instalacja w całej domenie
Jeśli planujesz, aby Twoja aplikacja była kierowana tylko na użytkowników organizacji Google Workspace lub Cloud Identity i zawsze używała instalacji w całej domenie, nie będzie ona wymagać weryfikacji marki. Jeśli jednak aplikacja korzysta z zakresów z ograniczeniami lub zakresów wrażliwych, wymagana jest weryfikacja aplikacji. Dzieje się tak, ponieważ instalacja w całej domenie umożliwia administratorowi domeny przyznawanie aplikacjom innych firm i aplikacjom wewnętrznym dostępu do danych użytkowników. Tylko administratorzy organizacji mogą dodawać aplikacje do listy dozwolonych, aby można było z nich korzystać w ich domenach.
Aby dowiedzieć się, jak udostępnić aplikację do instalacji w całej domenie, zapoznaj się z odpowiedzią na pytanie Moja aplikacja ma użytkowników z kontami służbowymi z innej domeny Google Workspace w sekcji Najczęstsze pytania.