Все приложения, которые обращаются к API Google, должны подтвердить, что они точно представляют свою личность и намерения, как указано в Правилах в отношении пользовательских данных сервисов API Google. Чтобы защитить вас и пользователей Google и вашего приложения, Google может потребоваться проверить ваше приложение и окно запроса доступа.
Проверка требуется, если приложение соответствует всем следующим критериям:
- В Google API Console для вашего приложения задан тип пользователя Внешний и статус публикации Опубликовано. Это означает, что приложение опубликовано и доступно всем пользователям с аккаунтом Google.
- Вы хотите, чтобы в окне запроса доступа OAuth показывался логотип или отображаемое название приложения.
Если вы подтвердите информацию о бренде своего приложения, то повысите вероятность того, что пользователь узнает ваш бренд и решит предоставить доступ к вашему приложению. Подтвержденная информация о бренде также может привести к меньшему количеству отзывов в дальнейшем, когда пользователь или администратор Google Workspace проверяет сторонние приложения и сервисы с доступом к аккаунту. Автоматическая проверка бренда обычно занимает несколько минут после нажатия кнопки Подтвердить бренд. В некоторых случаях, когда результат не может быть определен автоматически, ваше приложение может пройти проверку вручную, которая обычно занимает 2–3 рабочих дня.
Если информация о бренде вашего приложения не будет подтверждена, пользователи могут начать меньше доверять вашим запросам на доступ к их данным. Это может привести к уменьшению количества авторизаций и увеличению количества отзывов разрешений.
Окно запроса доступа OAuth
В окне запроса доступа пользователи видят, кто запрашивает доступ к их данным и какие именно данные нужны приложению (выделено рамкой 2 на рисунке 1).
Если ваше приложение пройдет проверку бренда и получит одобрение, то пользователю, предоставляющему разрешение, будет проще понять, как приложение идентифицирует себя и какие правила в отношении пользовательских данных оно применяет. Это повысит вероятность того, что владелец аккаунта одобрит ваши запросы и не закроет доступ, когда будет проверять возможные отзывы на странице аккаунта Google. Контент, который вы настраиваете на странице брендинга OAuth в Cloud Console, заполняет следующие компоненты:
- Название и логотип приложения (как показано в поле 1 на рисунке 1).
- Адрес электронной почты службы поддержки, который появляется после выбора названия приложения (поле 2 на рисунке 1).
- Ссылки на политику конфиденциальности и условия использования (поле 3 на рисунке 1).
Авторизованные домены
В рамках проверки бренда Google требует подтвердить все домены, связанные с окном запроса доступа OAuth и учетными данными приложения. Мы просим вас подтвердить компонент домена, доступный для регистрации в общедоступном суффиксе, – частный домен верхнего уровня. Например, если в окне запроса доступа OAuth указана главная страница приложения https://sub.example.com/product, владельцу аккаунта будет предложено подтвердить право собственности на домен example.com.
В разделе Авторизованные домены редактора окна запроса доступа OAuth должны быть указаны частные домены верхнего уровня, которые используются в URI в разделе Домен приложения. К ним относятся домены главной страницы приложения, политики конфиденциальности и условий использования. В разделе Авторизованные домены также должны быть указаны URI перенаправления или источники JavaScript, авторизованные в типах клиентов OAuth "Веб-приложение".
Подтвердите право собственности на авторизованные домены с помощью Google Search Console. Аккаунт Google с правами владельца домена должен быть связан с проектом API Console, в котором используется этот авторизованный домен. Подробнее о том, как подтвердить право собственности на сайт в Google Search Console, см. Как подтвердить право собственности на сайт.
Как подготовиться к проверке
Все приложения, которые используют API Google для запроса доступа к данным, должны пройти проверку бренда. Для этого выполните следующие действия:
- Убедитесь, что ваше приложение не относится ни к одному из случаев, описанных в разделе Исключения из требований к проверке.
- Убедитесь, что ваше приложение соответствует требованиям к брендингу связанных API или продуктов. Например, ознакомьтесь с правилами фирменного оформления для областей действия входа с аккаунтом Google.
- Подтвердите право собственности на авторизованные домены проекта в Google Search Console. Используйте аккаунт Google, связанный с вашим проектом в API Console в качестве владельца или редактора.
- Убедитесь, что вся информация о бренде в окне запроса доступа OAuth, например название приложения, адрес электронной почты службы поддержки, URI главной страницы, URI политики конфиденциальности и т. д., точно отражает идентичность приложения.
Требования к главной странице приложения
Убедитесь, что главная страница отвечает следующим требованиям:
- Главная страница должна быть общедоступной, а не только для пользователей, вошедших в аккаунт.
- Релевантность главной страницы проверяемому приложению должна быть очевидной.
- Ссылки на страницу приложения в Google Play или Facebook не считаются действительными.
Требования к ссылке на политику конфиденциальности приложения
Убедитесь, что политика конфиденциальности вашего приложения соответствует следующим требованиям:
- Политика конфиденциальности должна быть доступна пользователям, размещена в том же домене, что и главная страница вашего приложения, и связана с окном запроса доступа OAuth в Google API Console. Обратите внимание, что на главной странице должно быть описание функций приложения, а также ссылки на политику конфиденциальности и условия использования (необязательно).
- В политике конфиденциальности должно быть указано, как ваше приложение получает доступ к пользовательским данным Google, а также как оно использует, хранит и передает их. Вы должны использовать данные пользователей Google только в целях, указанных в опубликованной политике конфиденциальности.
Как отправить приложение на проверку соответствия бренду
Проект консоли Google Cloud позволяет упорядочить все ресурсы консоли Cloud. Проект состоит из набора связанных аккаунтов Google, у которых есть разрешение на выполнение операций проекта, набора включенных API, а также настроек оплаты, аутентификации и мониторинга для этих API. Например, проект может содержать один или несколько клиентов OAuth, настраивать API для использования этими клиентами и настраивать окно запроса доступа OAuth, которое показывается пользователям, прежде чем они разрешат доступ к вашему приложению.
Если какие-либо из ваших клиентов OAuth не готовы к работе, рекомендуем удалить их из проекта, для которого запрашивается проверка. Это можно сделать на странице "Клиенты".
Чтобы отправить запрос на проверку, выполните следующие действия:
- Убедитесь, что ваше приложение соответствует Условиям использования API Google и Правилам в отношении пользовательских данных сервисов API Google.
- Следите за тем, чтобы роли владельца и редактора в аккаунтах, связанных с вашим проектом, были актуальными. Также не забывайте обновлять в Cloud Console адрес электронной почты службы поддержки пользователей, указанный в окне запроса доступа OAuth, и контактную информацию разработчика. Это позволит нужным сотрудникам вашей команды получать уведомления о новых требованиях.
- Перейдите на страницу Брендинг в Cloud Console.
- Нажмите кнопку Выбор проекта.
- В появившемся диалоговом окне Select from (Выбрать из) выберите проект. Если вы не можете найти проект, но знаете его идентификатор проекта, вы можете ввести URL в браузере в следующем формате:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
- На странице Брендинг укажите информацию о бренде приложения, в том числе название приложения, логотип, контактную информацию разработчика и нужные ссылки. Все изменения сохраняются как Черновик брендинга.
- Нажмите кнопку Проверить брендинг, чтобы начать процесс оценки. Обычно автоматическая проверка занимает несколько минут.
- После завершения оценки проверьте статус. Если все в порядке, статус изменится на Готово к публикации. Если автоматическая проверка не удалась, вы можете посмотреть обнаруженные проблемы и устранить их или запросить проверку вручную.
- Нажмите кнопку Опубликовать брендинг, чтобы применить новые настройки.
- Если вашему приложению также требуется проверка для конфиденциальных или ограниченных областей действия, перейдите в Центр проверки OAuth, чтобы отслеживать статус доступа к данным и предоставлять любую запрашиваемую дополнительную информацию, например демонстрационное видео. Обратите внимание, что запрашивать проверку для доступа к данным можно только после публикации статуса брендинга.
- Нажмите кнопку Добавить или удалить области действия и укажите все области действия, которые запрашивает ваше приложение. В разделе Области действия, не связанные с конфиденциальными данными уже указан набор областей действия, необходимых для работы функции "Войти с аккаунтом Google". Добавленные области действия классифицируются как неконфиденциальные, конфиденциальные или с ограниченным доступом.
- Укажите до трех ссылок на документацию, связанную с функциями вашего приложения.
- На следующих шагах укажите дополнительную информацию о приложении.
После того как вы опубликуете элементы бренда или отправите запрос на доступ к данным, команда Google по обеспечению доверия и безопасности может связаться с вами по электронной почте, чтобы запросить дополнительную информацию или сообщить о дальнейших действиях. Проверьте, не получали ли вы запросы на предоставление дополнительной информации на адреса электронной почты, указанные в разделе Контактная информация разработчика и в окне запроса доступа OAuth. Вы также можете посмотреть текущий статус проверки проекта на страницах "Брендинг" или "Центр проверки". Там же будет указано, приостановлена ли проверка в ожидании вашего ответа.
Исключения из требований к проверке
Если ваше приложение будет использоваться в любом из сценариев, описанных в следующих разделах, вам не нужно отправлять его на проверку.
Личное использование
Например, если вы единственный пользователь приложения или им пользуется лишь несколько человек, которых вы знаете лично. Вы и ограниченное число пользователей можете пропустить экран непроверенного приложения и предоставить доступ к приложению своим личным аккаунтам.
Проекты, используемые на уровнях разработки, тестирования или промежуточного хранения
Чтобы соблюдать правила Google OAuth 2.0, рекомендуем использовать разные проекты для тестовой и рабочей сред. Рекомендуем отправлять приложение на проверку, только если вы хотите сделать его доступным для всех пользователей с аккаунтом Google. Поэтому, если ваше приложение находится на стадии разработки, тестирования или подготовки, проверка не требуется.
Если приложение находится на этапе разработки или тестирования, оставьте для параметра Статус публикации значение по умолчанию – Тестирование. Это означает, что ваше приложение все ещё находится в разработке и доступно только пользователям, которых вы добавили в список тестировщиков. Вы должны управлять списком аккаунтов Google, которые участвуют в разработке или тестировании вашего приложения.
Только данные, принадлежащие сервису
Если ваше приложение использует сервисный аккаунт только для доступа к собственным данным и не обращается к пользовательским данным, связанным с аккаунтом Google, то проходить проверку не нужно.
Чтобы узнать, что такое сервисные аккаунты, ознакомьтесь с документацией Google Cloud. Инструкции по использованию сервисного аккаунта приведены в статье Использование OAuth 2.0 для серверных приложений.
Только для внутреннего использования
Это означает, что приложение используется только сотрудниками вашей организации Google Workspace или Cloud Identity. Проект должен принадлежать организации, а в окне запроса доступа OAuth должен быть выбран тип пользователей Внутренние. В этом случае для приложения может потребоваться одобрение администратора организации. Подробнее о дополнительных факторах, которые следует учитывать при работе с Google Workspace…
- Подробнее об общедоступных и внутренних приложениях…
- Подробнее о том, как отметить приложение как предназначенное только для внутреннего использования…
Установка на уровне домена
Если вы планируете, что ваше приложение будет предназначено только для пользователей организации Google Workspace или Cloud Identity и всегда будет использовать установку в домене, то для него не потребуется проверка бренда. Однако если в вашем приложении используются области действия с ограниченным доступом или конфиденциальные области действия, требуется проверка приложения. Это связано с тем, что установка на уровне домена позволяет администратору домена предоставлять сторонним и внутренним приложениям доступ к данным пользователей. Только администраторы организации могут добавлять приложения в белый список для использования в своих доменах.
Инструкции по установке приложения в домене приведены в разделе часто задаваемых вопросов У моего приложения есть пользователи с корпоративными аккаунтами из другого домена Google Workspace.