1.1: Vinculação de contas OAuth
Introdução e impacto nos negócios
Para usar as APIs do Google, o OAuth precisa conceder à sua integração o acesso de comerciante necessário para fazer a integração às listagens sem custo financeiro e anúncios pagos.
O aplicativo precisa usar o OAuth 2.0 para autorizar solicitações. Não há outros protocolos de autorização compatíveis.
Orientação sobre UX
Meta: ter comerciantes autorizados a compartilhar o uso dos dados deles no Google app.
Princípio do design: peça a permissão certa no momento certo. A falha não será realizada se os comerciantes não concederem a permissão.
É necessário conceder permissões de acesso ao comerciante. Confira um exemplo de como essas instruções podem ser mostradas ao comerciante:
Depois que o comerciante passa por essas etapas iniciais, há três resultados possíveis:
Resultado 1: se o comerciante concordar com todas as permissões:
Se o comerciante der permissões totais, ele marcará todas as caixas e receberá uma solicitação para continuar o processo de integração.
Resultado 2: se o comerciante não concordar com o Google Ads
O comerciante marca todas as caixas, exceto a permissão relacionada ao Google Ads. Ele continua o processo de integração e, posteriormente, ao criar uma nova conta do Google Ads ou se conectar a uma conta existente, ele precisa conceder permissões novamente:
Resultado 3: se a verificação do site ou os dados do produto não estiver selecionada, o comerciante não poderá continuar com a integração
Todas as opções anteriores resultam na mesma mensagem de erro:
Orientação técnica
Escolher as solicitações de autorização com OAuth 2.0
Há dois métodos para selecionar um método de autenticação do comerciante:
| OAuth 2.0 para contas que não são de serviço (altamente recomendado) | OAuth 2.0 para contas de serviço |
|---|---|
| Um cliente OAuth 2.0 identifica o aplicativo e permite que os usuários finais concedam ao seu aplicativo acesso limitado aos dados do Google deles. Ele permite que seu aplicativo acesse APIs do Google Cloud em nome do usuário final. As ocorrências listadas resultam na invalidação do token de acesso, o que deve ser contabilizado no código: ● O usuário revogou o acesso ● O usuário mudou a senha ● O número de tokens de atualização concedidos excedeu o limite ● O token de atualização não foi usado nos últimos seis meses |
As contas de serviço são Contas do Google especiais que podem ser usadas por aplicativos para acessar as APIs do Google programaticamente com o OAuth 2.0.Ela usa um fluxo do OAuth 2.0 que não requer autorização humana. Em vez disso, ela usa um arquivo de chave que somente seu aplicativo pode acessar. Observação:os aplicativos que usam contas de serviço para autenticação só podem acessar a própria conta do Merchant Center. Se você estiver criando um aplicativo de terceiros que precisa de acesso às contas do Merchant Center dos seus clientes, consulte o guia de autorização de solicitações. Observação:é necessário ter um projeto do Cloud e criar até 100 contas de serviço. Veja a documentação |
Configurar o fluxo do OAuth
Com o framework de autorização OAuth 2.0, um aplicativo de terceiros tem acesso limitado a um serviço HTTP, seja em nome de um proprietário de recurso, orquestrando uma interação de aprovação entre o proprietário do recurso e o serviço HTTP ou permitindo que o aplicativo de terceiros tenha acesso por conta própria.
Como seu app acessa dados protegidos (não públicos), você precisa de um ID do cliente do OAuth 2.0. As APIs do Google usam o protocolo OAuth 2.0 para autenticação e autorização. O Google é compatível com cenários comuns do OAuth 2.0, como aqueles para aplicativos de servidor da Web, instalados e do lado do cliente.
Saiba mais
- Como usar o OAuth 2.0 para acessar as APIs do Google
- Como configurar o OAuth
- OAuth para a API Content
Informações importantes sobre o uso do OAuth na API Content for Shopping:
Defina o access_type como off-line:os tokens de acesso expiram periodicamente e se tornam credenciais inválidas para uma solicitação de API relacionada.
Atualizar um token de acesso:é possível fazer isso sem solicitar a permissão do usuário (mesmo quando ele não está presente) se você solicitou acesso off-line aos escopos associados ao token (saiba mais).
Implementação do OAuth nas bibliotecas: é altamente recomendável usar as bibliotecas de cliente das APIs do Google.
Escopo:você precisa solicitar que o comerciante conceda acesso de leitura e gravação à Conta do Google dele usando o escopo do OAuth do Google Merchant Center: https://www.googleapis.com/auth/content.
Você pode usar o OAuth para receber informações importantes do perfil do usuário.
Escopos a serem usados na integração
Dependendo do tipo de integração que você planeja criar para seus comerciantes, recomendamos solicitar todos os escopos necessários.
| Program | Escopo | Qual formato é o escopo obrigatório |
|---|---|---|
| API Content | https://www.googleapis.com/auth/content |
Listagens sem custo financeiro |
| Verificação do site | https://www.googleapis.com/auth/siteverification |
Listagem sem custo financeiro e anúncios pagos |
| Anúncios | https://www.googleapis.com/auth/adwords |
Listagem sem custo financeiro e anúncios pagos |
Verificar se os comerciantes concederam acesso OAuth
Os comerciantes precisam marcar caixas no fluxo de consentimento do OAuth para conceder acesso a escopos específicos:se os escopos necessários estiverem ausentes, explique aos comerciantes por que eles são necessários e solicite a permissão novamente (mais detalhes). A falta de acesso a todas essas permissões impede que os comerciantes façam a integração completa.
Chame o endpoint de API a seguir para verificar os escopos concedidos:
https://www.oauth2.googleapis.com/token
O URL retorna as seguintes informações:
- access_token
- escopos concedidos ao usuário
- tempo antes da expiração do token
Escopos confidenciais e processo de verificação OAuth
Alguns escopos usados pelas APIs OAuth são considerados confidenciais e exigem um processo de verificação. Mais informações e exemplos podem ser encontrados em OAuth para a API Content.
Escopo confidencial do app para atender à política: confira se o app obedece à política de dados do usuário dos serviços de API do Google. Você também precisa concordar com os Termos de Serviço da API.
Confirme se o app não se enquadra em nenhum dos casos de uso listados em Exceções aos requisitos de verificação.
Verifique a propriedade dos domínios autorizados do seu projeto usando o Search Console. Use uma conta que seja proprietária ou editora do projeto do Console do Cloud.
Verifique se todas as informações de marca na tela de permissão OAuth correspondem e são válidas, por exemplo: o nome do projeto mostrado aos usuários, o e-mail de suporte, o URL da página inicial e o URL da Política de Privacidade representam com precisão a identidade do app.
Solicite um escopo sensível ao app com o processo de verificação: siga o processo, que requer o preenchimento de um formulário, a justificativa e o envio de um vídeo.