Wszystkie aplikacje, które uzyskują dostęp do interfejsów API Google, muszą potwierdzić, że dokładnie przedstawiają swoją tożsamość i zamiary, zgodnie z zasadami dotyczącymi danych użytkownika usług interfejsów API Google. Aby chronić Ciebie i użytkowników Google oraz Twojej aplikacji, ekran zgody i aplikacja mogą wymagać weryfikacji przez Google.
Twoja aplikacja wymaga weryfikacji, jeśli spełnia wszystkie te kryteria:
- W Konsoli interfejsów API Google konfiguracja aplikacji jest ustawiona na typ użytkownika Zewnętrzny i stan publikacji Opublikowano. Oznacza to, że aplikacja jest w wersji produkcyjnej i jest dostępna dla każdego użytkownika, który ma konto Google.
- Chcesz, aby Twoja aplikacja wyświetlała logo lub wyświetlaną nazwę na ekranie zgody OAuth.
Jeśli zweryfikujesz informacje o marce swojej aplikacji, możesz zwiększyć prawdopodobieństwo, że użytkownik rozpozna Twoją markę i zdecyduje się przyznać dostęp do aplikacji. Zweryfikowane informacje o marce mogą też zmniejszyć liczbę przypadków unieważnienia dostępu, gdy użytkownik lub administrator Google Workspace sprawdza aplikacje innej firmy i usługi, które mają dostęp do konta. Automatyczny proces weryfikacji marki zajmuje zwykle kilka minut od kliknięcia przycisku Zweryfikuj markę. W niektórych przypadkach, gdy nie można automatycznie określić wyniku, aplikacja może zostać poddana procesowi ręcznego sprawdzania, który zwykle trwa 2–3 dni robocze.
Jeśli informacje o marce Twojej aplikacji pozostaną niezweryfikowane, może to spowodować spadek zaufania użytkowników do Twojej prośby o dostęp do ich danych, co może prowadzić do mniejszej liczby autoryzacji użytkowników i większej liczby późniejszych unieważnień.
Ekran zgody OAuth
Ekran zgody informuje użytkowników, kto prosi o dostęp do ich danych i jakiego rodzaju danych potrzebuje aplikacja, aby działać w ich imieniu (jak pokazano w polu 2 na rysunku 1).
Gdy aplikacja przejdzie proces weryfikacji marki i zostanie zatwierdzona, jej tożsamość i zasady dotyczące danych użytkownika będą bardziej zrozumiałe dla konta, które udziela uprawnień. Dzięki temu właściciel konta będzie bardziej skłonny do zatwierdzenia Twoich próśb i utrzymania dostępu, gdy będzie sprawdzać możliwe unieważnienia na stronie Konto Google. Treści skonfigurowane na stronie marki OAuth w konsoli Cloud wypełniają te komponenty:
- nazwę i logo aplikacji (jak w polu 1 na rysunku 1);
- adres e-mail do kontaktu z zespołem pomocy, który pojawia się po wybraniu nazwy aplikacji (pole 2 na rysunku 1);
- Linki do polityki prywatności i warunków korzystania z usługi (pole 3 na rysunku 1).
Autoryzowane domeny
W ramach procesu weryfikacji marki Google wymaga weryfikacji wszystkich domen powiązanych z ekranem zgody OAuth i danymi logowania aplikacji. Prosimy o potwierdzenie komponentu domeny dostępnego do rejestracji w publicznym sufiksie: „najwyższej domeny prywatnej”. Na przykład ekran zgody OAuth, który jest skonfigurowany ze stroną główną aplikacji https://sub.example.com/product, prosi właściciela konta o potwierdzenie własności domeny example.com.
Sekcja Autoryzowane domeny w edytorze ekranu zgody OAuth musi zawierać prywatne domeny najwyższego poziomu, które są używane w identyfikatorach URI w sekcji Domena aplikacji. Te domeny obejmują stronę główną aplikacji, politykę prywatności i warunki korzystania z usługi. Sekcja Autoryzowane domeny musi też zawierać identyfikatory URI przekierowań lub źródła JavaScriptu autoryzowane w aplikacjach OAuth typu „Aplikacja internetowa”.
Potwierdź własność autoryzowanych domen za pomocą Google Search Console. Konto Google z uprawnieniami właściciela domeny musi być powiązane z projektem w Konsoli interfejsów API, który korzysta z tej autoryzowanej domeny. Więcej informacji o weryfikacji domeny w Google Search Console znajdziesz w artykule Potwierdzanie własności witryny.
Kroki, które należy wykonać, aby przygotować się do weryfikacji
Wszystkie aplikacje, które używają interfejsów API Google do żądania dostępu do danych, muszą wykonać te czynności, aby przejść weryfikację marki:
- Upewnij się, że Twoja aplikacja nie należy do żadnego z przypadków użycia wymienionych w sekcji Wyjątki od wymagań dotyczących weryfikacji.
- Upewnij się, że Twoja aplikacja jest zgodna z wymaganiami dotyczącymi marki powiązanych interfejsów API lub usług. Zobacz na przykład wskazówki dotyczące promowania marki w przypadku zakresów logowania przez Google.
- Potwierdź własność autoryzowanych domen projektu w Google Search Console. Użyj konta Google powiązanego z projektem w Konsoli interfejsów API jako właściciel lub edytujący.
- Upewnij się, że wszystkie informacje o marce na ekranie zgody OAuth, takie jak nazwa aplikacji, adres e-mail pomocy, identyfikator URI strony głównej, identyfikator URI polityki prywatności itp., dokładnie odzwierciedlają tożsamość aplikacji.
Wymagania dotyczące strony głównej aplikacji
Upewnij się, że strona główna spełnia te wymagania:
- Strona główna musi być dostępna publicznie, a nie tylko dla zalogowanych użytkowników witryny.
- Związek strony głównej ze sprawdzaną aplikacją musi być wyraźny.
- Linki do informacji o aplikacji w Sklepie Google Play lub na jej stronie na Facebooku nie są uznawane za prawidłowe strony główne aplikacji.
Wymagania dotyczące linku do polityki prywatności aplikacji
Upewnij się, że polityka prywatności Twojej aplikacji spełnia te wymagania:
- Polityka prywatności musi być widoczna dla użytkowników, hostowana w tej samej domenie co strona główna aplikacji i powiązana z ekranem zgody OAuth w Konsoli interfejsów API Google. Pamiętaj, że strona główna musi zawierać opis funkcji aplikacji, a także linki do polityki prywatności i opcjonalnych warunków korzystania z usługi.
- Polityka prywatności musi informować o tym, w jaki sposób aplikacja uzyskuje dostęp do danych użytkowników Google, wykorzystuje je, przechowuje i udostępnia. Sposób wykorzystywania przez Ciebie danych użytkowników Google musi być ograniczony do praktyk opisanych w opublikowanej polityce prywatności.
Jak przesłać aplikację do weryfikacji marki
Projekt konsoli Google Cloud porządkuje wszystkie zasoby konsoli Cloud. Projekt składa się ze zbioru powiązanych kont Google, które mają uprawnienia do wykonywania operacji w projekcie, zbioru włączonych interfejsów API oraz ustawień rozliczeń, uwierzytelniania i monitorowania tych interfejsów API. Projekt może na przykład zawierać co najmniej 1 klienta OAuth, konfigurować interfejsy API do użycia przez tych klientów i konfigurować ekran zgody OAuth, który jest wyświetlany użytkownikom, zanim autoryzują dostęp do aplikacji.
Jeśli któryś z Twoich klientów OAuth nie jest gotowy do produkcji, zalecamy usunięcie go z projektu, który wymaga weryfikacji. Możesz to zrobić na stronie Klienci.
Aby przesłać prośbę o weryfikację:
- Upewnij się, że Twoja aplikacja jest zgodna z Warunkami korzystania z interfejsów API Google i Zasadami dotyczącymi danych użytkownika w usługach interfejsów API Google.
- Dbaj o to, aby role właściciela i edytującego na kontach powiązanych z projektem były aktualne. To samo dotyczy adresu e-mail do obsługi użytkowników na ekranie zgody OAuth oraz informacji kontaktowych dewelopera w konsoli Cloud. Dzięki temu odpowiedni członkowie zespołu będą powiadamiani o nowych wymaganiach.
- W konsoli Cloud otwórz stronę Marka.
- Kliknij przycisk Selektor projektu.
W wyświetlonym oknie Wybierz spośród wybierz swój projekt. Jeśli nie możesz znaleźć projektu, ale znasz identyfikator projektu, możesz utworzyć adres URL w przeglądarce w tym formacie:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Zastąp [PROJECT_ID] identyfikatorem projektu, którego chcesz użyć.
Na stronie Marka podaj informacje o marce aplikacji, w tym nazwę aplikacji, logo, informacje kontaktowe dewelopera i odpowiednie linki. Wszystkie wprowadzone zmiany zostaną zapisane jako Wersja robocza informacji o marce.
Kliknij przycisk Zweryfikuj markę, aby rozpocząć proces oceny. Sprawdzanie automatyczne zwykle trwa kilka minut.
Po zakończeniu oceny sprawdź stan. Jeśli się powiedzie, stan zmieni się na Gotowa do publikacji. Jeśli automatyczna weryfikacja się nie powiedzie, zobaczysz wykryte problemy i możesz je rozwiązać lub poprosić o ręczne sprawdzenie.
Kliknij przycisk Opublikuj markę, aby udostępnić nową markę.
Jeśli Twoja aplikacja wymaga też weryfikacji pod kątem zakresów wrażliwych lub z ograniczeniami, przejdź do Centrum weryfikacji OAuth, aby śledzić stan dostępu do danych i podać dodatkowe informacje, takie jak film demonstracyjny. Pamiętaj, że zanim poprosisz o weryfikację dostępu do danych, musisz mieć opublikowane elementy marki.
Użyj przycisku Dodaj lub usuń zakresy, aby zadeklarować wszystkie zakresy, których wymaga Twoja aplikacja. Początkowy zestaw zakresów niezbędnych do logowania przez Google jest wstępnie wypełniony w sekcji Zakresy niepoufne. Dodane zakresy są klasyfikowane jako niewrażliwe, wrażliwe lub z ograniczeniami.
Podaj maksymalnie 3 linki do istotnej dokumentacji dotyczącej powiązanych funkcji w aplikacji.
W kolejnych krokach podaj dodatkowe informacje o aplikacji.
Po opublikowaniu informacji o marce lub przesłaniu prośby o dostęp do danych zespół Google ds. zaufania i bezpieczeństwa może wysłać do Ciebie e-maila z prośbą o dodatkowe informacje lub z instrukcjami, które musisz wykonać. Sprawdź, czy w sekcji Informacje kontaktowe dewelopera i w adresie e-mail do kontaktu z zespołem pomocy na ekranie zgody OAuth nie ma próśb o dodatkowe informacje. Możesz też sprawdzić strony Marka lub Centrum weryfikacji, aby potwierdzić bieżący stan weryfikacji projektu, w tym czy proces weryfikacji został wstrzymany, gdy czekamy na Twoją odpowiedź.
Wyjątki od wymagań dotyczących weryfikacji
Jeśli Twoja aplikacja będzie używana w jednym ze scenariuszy opisanych w poniższych sekcjach, nie musisz przesyłać jej do sprawdzenia.
Do użytku osobistego
Może to być na przykład sytuacja, gdy jesteś jedynym użytkownikiem aplikacji lub gdy korzysta z niej tylko kilka osób, które znasz osobiście. Ty i ograniczona liczba użytkowników możecie przejść przez ekran niezweryfikowanej aplikacji i przyznać kontom osobistym dostęp do aplikacji.
Projekty używane na poziomach programistycznym, testowym lub przejściowym
Aby zachować zgodność z zasadami Google OAuth 2.0, zalecamy używanie różnych projektów w środowiskach testowych i produkcyjnych. Zalecamy przesłanie aplikacji do weryfikacji tylko wtedy, gdy chcesz udostępnić ją wszystkim użytkownikom kont Google. Dlatego jeśli aplikacja jest na etapie programowania, testowania lub stagingu, weryfikacja nie jest wymagana.
Jeśli aplikacja jest w fazie rozwoju lub testowania, możesz pozostawić Stan publikacji w ustawieniu domyślnym Testowanie. To ustawienie oznacza, że aplikacja jest nadal w fazie rozwoju i jest dostępna tylko dla użytkowników, których dodasz do listy użytkowników testowych. Musisz zarządzać listą kont Google, które są zaangażowane w tworzenie lub testowanie aplikacji.
Tylko dane należące do usługi
Jeśli Twoja aplikacja używa konta usługi, aby uzyskiwać dostęp tylko do własnych danych, i nie uzyskuje dostępu do żadnych danych użytkownika (powiązanych z kontem Google), nie musisz przesyłać jej do weryfikacji.
Aby dowiedzieć się, czym są konta usługi, zapoznaj się z artykułem Konta usługi w dokumentacji Google Cloud. Instrukcje dotyczące korzystania z konta usługi znajdziesz w artykule o używaniu protokołu OAuth 2.0 w aplikacjach typu serwer-serwer.
Tylko do użytku wewnętrznego
Oznacza to, że aplikacja jest używana tylko przez osoby w Twojej organizacji Google Workspace lub Cloud Identity. Projekt musi należeć do organizacji, a jego ekran zgody OAuth musi być skonfigurowany dla wewnętrznego typu użytkownika. W takim przypadku aplikacja może wymagać zatwierdzenia przez administratora organizacji. Więcej informacji znajdziesz w artykule Dodatkowe uwagi dotyczące Google Workspace.
- Dowiedz się więcej o aplikacjach publicznych i wewnętrznych.
- Dowiedz się, jak oznaczyć aplikację jako wewnętrzną, z Najczęstszych pytań Jak oznaczyć aplikację jako przeznaczoną tylko do użytku wewnętrznego?
Instalacja w całej domenie
Jeśli planujesz, że Twoja aplikacja będzie kierowana tylko na użytkowników organizacji Google Workspace lub Cloud Identity i zawsze będzie używać instalacji w całej domenie, nie będzie wymagać weryfikacji marki. Jeśli jednak aplikacja korzysta z zakresów z ograniczeniami lub zakresów wrażliwych, wymagana jest weryfikacja aplikacji. Dzieje się tak, ponieważ instalacja w całej domenie umożliwia administratorowi domeny przyznawanie aplikacjom innych firm i aplikacjom wewnętrznym dostępu do danych użytkowników. Tylko administratorzy organizacji mogą dodawać aplikacje do listy dozwolonych do użytku w ich domenach.
Aby dowiedzieć się, jak umożliwić instalację aplikacji w całej domenie, zapoznaj się z odpowiedzią na pytanie Moja aplikacja ma użytkowników z kontami służbowymi z innej domeny Google Workspace w sekcji Najczęstsze pytania.