Все приложения, которые обращаются к API Google, должны подтвердить, что они точно представляют свою личность и намерения, как указано в Правилах в отношении пользовательских данных сервисов API Google. Чтобы защитить вас и пользователей Google и вашего приложения, Google может потребоваться проверить окно запроса доступа и приложение.
Проверка требуется, если приложение соответствует всем следующим критериям:
- В Google API Console для вашего приложения задан тип пользователя Внешний и статус публикации Опубликовано. Это означает, что приложение опубликовано и доступно всем пользователям с аккаунтом Google.
- Вы хотите, чтобы в окне запроса доступа OAuth показывался логотип или отображаемое название приложения.
Если вы подтвердите информацию о бренде своего приложения, пользователи будут чаще узнавать его и предоставлять ему доступ. Кроме того, это снизит вероятность того, что пользователь или администратор Google Workspace отзовет доступ сторонних приложений и сервисов к аккаунту. Автоматическая проверка бренда обычно занимает несколько минут после нажатия кнопки Подтвердить бренд. В некоторых случаях, когда результат не может быть определен автоматически, ваше приложение может пройти проверку вручную, которая обычно занимает 2–3 рабочих дня.
Если информация о бренде вашего приложения не будет подтверждена, пользователи могут начать меньше доверять вашим запросам на доступ к их данным. Это может привести к уменьшению количества авторизаций и увеличению количества отзывов разрешений.
Окно запроса доступа OAuth
В окне запроса доступа пользователи видят, кто запрашивает доступ к их данным и какие именно данные нужны приложению (выделено рамкой 2 на рисунке 1).
Если ваше приложение пройдет проверку бренда и получит одобрение, то пользователю, предоставляющему разрешение, будет проще понять, как приложение идентифицирует себя и какие правила в отношении пользовательских данных оно применяет. Это повысит вероятность того, что владелец аккаунта одобрит ваши запросы и не закроет доступ, когда будет проверять возможные отзывы на странице аккаунта Google. Контент, который вы настраиваете на странице Брендинг в Cloud Console, заполняет следующие компоненты:
- Название и логотип приложения (как показано в поле 1 на рисунке 1).
- Адрес электронной почты службы поддержки, который появляется после выбора названия приложения (поле 2 на рисунке 1).
- Ссылки на политику конфиденциальности и условия использования (поле 3 на рисунке 1).
Авторизованные домены
В рамках проверки бренда Google требует подтвердить все домены, связанные с окном запроса доступа OAuth и учетными данными приложения. Мы просим вас подтвердить компонент домена, доступный для регистрации в общедоступном суффиксе, – частный домен верхнего уровня. Например, если в окне запроса доступа OAuth в качестве главной страницы приложения указан адрес https://sub.example.com/product, владельцу аккаунта будет предложено подтвердить право собственности на домен example.com.
В разделе Авторизованные домены редактора окна запроса доступа OAuth должны быть указаны частные домены верхнего уровня, которые используются в URI в разделе Домен приложения. К ним относятся домены главной страницы приложения, политики конфиденциальности и условий использования. В разделе Авторизованные домены также должны быть указаны URI перенаправления или источники JavaScript, авторизованные в типах приложений OAuth "Веб-приложение".
Подтвердите право собственности на авторизованные домены с помощью Google Search Console. Аккаунт Google с правами владельца домена должен быть связан с проектом API Console, в котором используется этот авторизованный домен. Подробнее о том, как подтвердить право собственности на сайт в Google Search Console, см. Как подтвердить право собственности на сайт.
Как подготовиться к проверке
Все приложения, которые используют API Google для запроса доступа к данным, должны пройти проверку бренда. Для этого выполните следующие действия:
- Убедитесь, что ваше приложение не относится ни к одному из случаев, описанных в разделе Исключения из требований к проверке.
- Убедитесь, что ваше приложение соответствует требованиям к брендингу связанных API или продуктов. Например, ознакомьтесь с правилами фирменного оформления для областей действия, связанных с функцией "Войти с аккаунтом Google".
- Подтвердите право собственности на авторизованные домены проекта в Google Search Console. Используйте аккаунт Google, связанный с вашим проектом в API Console в качестве владельца или редактора.
- Убедитесь, что вся информация о бренде в окне запроса доступа OAuth, например название приложения, адрес электронной почты службы поддержки, URI главной страницы, URI политики конфиденциальности и т. д., точно отражает идентичность приложения.
Требования к главной странице приложения
Убедитесь, что главная страница отвечает следующим требованиям:
- Главная страница должна быть общедоступной, а не только для пользователей, вошедших в аккаунт.
- Релевантность главной страницы проверяемому приложению должна быть очевидной.
- Ссылки на страницу приложения в Google Play или Facebook не считаются действительными.
Требования к ссылке на политику конфиденциальности приложения
Убедитесь, что политика конфиденциальности вашего приложения соответствует следующим требованиям:
- Политика конфиденциальности должна быть доступна пользователям, размещена в том же домене, что и главная страница вашего приложения, и связана с окном запроса доступа OAuth в Google API Console. Обратите внимание, что на главной странице должно быть описание функций приложения, а также ссылки на политику конфиденциальности и условия использования (необязательно).
- В политике конфиденциальности должно быть указано, как ваше приложение получает доступ к пользовательским данным Google, а также как оно использует, хранит и передает их. Использовать их можно только в целях, которые вы указали в политике конфиденциальности.
Как отправить приложение на проверку соответствия бренду
Проект консоли Google Cloud позволяет упорядочить все ресурсы консоли Cloud. Проект состоит из набора связанных аккаунтов Google, у которых есть разрешение на выполнение операций проекта, набора включенных API, а также настроек оплаты, аутентификации и мониторинга для этих API. Например, в проекте может быть один или несколько клиентов OAuth, настроенные для них API и окно запроса доступа OAuth, которое показывается пользователям, прежде чем они разрешат доступ к вашему приложению.
Если какие-либо из ваших клиентов OAuth не готовы к работе, рекомендуем удалить их из проекта, для которого запрашивается проверка. Это можно сделать на странице "Клиенты".
Чтобы отправить запрос на проверку, выполните следующие действия:
- Убедитесь, что ваше приложение соответствует Условиям использования API Google и Правилам в отношении пользовательских данных сервисов API Google.
- Следите за тем, чтобы роли владельца и редактора в аккаунтах, связанных с вашим проектом, были актуальными. Также не забывайте обновлять в Cloud Console адрес электронной почты службы поддержки пользователей, который указывается в окне запроса доступа OAuth, и контактную информацию разработчика. Это позволит нужным сотрудникам получать уведомления о новых требованиях.
- Перейдите на страницу брендинга OAuth в Cloud Console.
- Нажмите кнопку Выбор проекта.
В появившемся диалоговом окне Select from (Выбрать из) выберите проект. Если вы не можете найти проект, но знаете его идентификатор проекта, введите в адресную строку браузера URL в следующем формате:
https://console.developers.google.com/auth/branding?project=[PROJECT_ID]
Замените [PROJECT_ID] на идентификатор проекта, который вы хотите использовать.
На странице Брендинг укажите информацию о бренде приложения, в том числе название приложения, логотип, контактную информацию разработчика и нужные ссылки. Все изменения сохраняются как Черновик брендинга.
Нажмите кнопку Проверить брендинг, чтобы начать процесс оценки. Автоматическая проверка обычно занимает несколько минут.
После завершения оценки проверьте статус. Если все в порядке, статус изменится на Готово к публикации. Если автоматическая проверка не удалась, вы можете посмотреть обнаруженные проблемы и устранить их или запросить проверку вручную.
Нажмите кнопку Опубликовать брендинг, чтобы применить новые настройки.
Если для приложения также требуется проверка конфиденциальных или ограниченных областей действия, перейдите в Центр проверки OAuth, чтобы отслеживать статус доступа к данным и предоставлять дополнительную информацию, например демонстрационное видео. Обратите внимание, что запрашивать проверку для доступа к данным можно только после публикации фирменного оформления.
Нажмите кнопку Добавить или удалить области действия и укажите все области действия, запрашиваемые вашим приложением. В разделе Области действия, не связанные с конфиденциальными данными, уже указан набор областей действия, необходимых для входа с аккаунтом Google. Добавленные области действия классифицируются как неконфиденциальные, конфиденциальные или с ограниченным доступом.
Укажите до трех ссылок на документацию, связанную с функциями в вашем приложении.
На следующих шагах укажите дополнительную информацию о приложении.
После того как вы опубликуете элементы бренда или отправите запрос на доступ к данным, команда Google по обеспечению доверия и безопасности может связаться с вами по электронной почте, чтобы запросить дополнительную информацию или сообщить о дальнейших действиях. Проверьте адреса электронной почты в разделе Контактная информация разработчика и адрес электронной почты службы поддержки на окне запроса доступа OAuth на наличие запросов на предоставление дополнительной информации. Вы также можете посмотреть текущий статус проверки проекта на страницах "Брендинг" или "Центр проверки". Там же будет указано, приостановлена ли проверка в ожидании вашего ответа.
Исключения из требований к проверке
Если ваше приложение будет использоваться в любом из сценариев, описанных в следующих разделах, вам не нужно отправлять его на проверку.
Личное использование
Например, если вы единственный пользователь приложения или им пользуется лишь несколько человек, которых вы знаете лично. Вы и ограниченное число пользователей можете пропустить экран непроверенного приложения и предоставить доступ к приложению своим личным аккаунтам.
Проекты, используемые на уровнях разработки, тестирования или промежуточного хранения
Чтобы соблюдать правила Google OAuth 2.0, рекомендуем использовать разные проекты для тестовой и рабочей сред. Рекомендуем отправлять приложение на проверку, только если вы хотите сделать его доступным для всех пользователей с аккаунтом Google. Поэтому, если ваше приложение находится на этапе разработки, тестирования или подготовки, проверка не требуется.
Если приложение находится на этапе разработки или тестирования, оставьте для параметра Publishing Status (Статус публикации) значение по умолчанию – Testing (Тестирование). Это означает, что ваше приложение все ещё находится в разработке и доступно только пользователям, которых вы добавили в список тестировщиков. Вы должны управлять списком аккаунтов Google, которые участвуют в разработке или тестировании вашего приложения.
Только данные, принадлежащие сервису
Если ваше приложение использует сервисный аккаунт только для доступа к собственным данным и не обращается к пользовательским данным, связанным с аккаунтом Google, то отправлять его на проверку не нужно.
Чтобы узнать, что такое сервисные аккаунты, ознакомьтесь с документацией Google Cloud. Инструкции по использованию сервисного аккаунта приведены в статье Использование OAuth 2.0 для серверных приложений.
Только для внутреннего использования
Это означает, что приложение используется только сотрудниками вашей организации Google Workspace или Cloud Identity. Проект должен принадлежать организации, а его окно запроса доступа OAuth должно быть настроено для типа пользователей Внутренний. В этом случае для приложения может потребоваться одобрение администратора организации. Дополнительную информацию можно найти в разделе Дополнительные сведения о Google Workspace.
- Подробнее об общедоступных и внутренних приложениях…
- Инструкции приведены в разделе часто задаваемых вопросов Как указать, что приложение предназначено только для внутреннего использования?
Установка на уровне домена
Если вы планируете, что ваше приложение будет предназначено только для пользователей организации Google Workspace или Cloud Identity и всегда будет использовать установку в домене, то для него не потребуется проверка бренда. Однако если в приложении используются области действия с ограниченным доступом или конфиденциальные области действия, то требуется проверка приложения. Это связано с тем, что при установке для всего домена администратор домена может предоставить сторонним и внутренним приложениям доступ к данным пользователей. Только администраторы организации могут добавлять приложения в белый список для использования в своих доменах.
Инструкции по установке приложения для всего домена приведены в разделе часто задаваемых вопросов У моего приложения есть пользователи с корпоративными аккаунтами из другого домена Google Workspace.