OAuth 2.0 untuk TV dan Aplikasi Perangkat Input Terbatas

Dokumen ini menjelaskan cara menerapkan otorisasi OAuth 2.0 untuk mengakses YouTube Data API melalui aplikasi yang berjalan di perangkat seperti TV, konsol game, dan printer. Lebih spesifiknya, alur ini didesain untuk perangkat yang tidak memiliki akses ke browser atau memiliki kemampuan input yang terbatas.

OAuth 2.0 memungkinkan pengguna berbagi data tertentu dengan aplikasi sambil menjaga kerahasiaan nama pengguna, sandi, dan informasi lainnya. Misalnya, aplikasi TV dapat menggunakan OAuth 2.0 untuk mendapatkan izin memilih file yang disimpan di Google Drive.

Karena aplikasi yang menggunakan alur ini didistribusikan ke tiap perangkat, aplikasi diasumsikan bahwa aplikasi tidak dapat menyimpan rahasia. Aplikasi dapat mengakses Google API saat pengguna berada di aplikasi atau saat aplikasi berjalan di latar belakang.

Alternatif

Jika Anda menulis aplikasi untuk platform seperti Android, iOS, macOS, Linux, atau Windows (termasuk Universal Windows Platform), yang memiliki akses ke browser dan kemampuan input penuh, gunakan alur OAuth 2.0 untuk aplikasi seluler dan desktop. (Anda harus menggunakan alur tersebut meskipun aplikasi Anda adalah alat command line tanpa antarmuka grafis.)

Jika Anda hanya ingin memproses login pengguna dengan Akun Google mereka dan menggunakan token ID JWT untuk mendapatkan informasi dasar profil pengguna, lihat artikel Login di TV dan Perangkat Input Terbatas.

Prasyarat

Mengaktifkan API untuk project Anda

Aplikasi apa pun yang memanggil Google API harus mengaktifkan API tersebut di API Console.

Untuk mengaktifkan API project Anda:

1. Open the API Library dalam Google API Console.
2. If prompted, select a project, or create a new one.
3. Gunakan halaman Koleksi untuk menemukan dan mengaktifkan YouTube Data API. Temukan API lain yang akan digunakan aplikasi Anda dan aktifkan juga API tersebut.

Membuat kredensial otorisasi

Semua aplikasi yang menggunakan OAuth 2.0 untuk mengakses Google API harus memiliki kredensial otorisasi yang mengidentifikasi aplikasi ke server OAuth 2.0 Google. Langkah-langkah berikut menjelaskan cara membuat kredensial untuk project Anda. Selanjutnya, aplikasi Anda dapat menggunakan kredensial tersebut untuk mengakses API yang telah diaktifkan untuk project tersebut.

1. Go to the Credentials page.
2. Klik Create credentials > OAuth client ID.
3. Pilih jenis aplikasi TVs and Limited Input devices.
4. Beri nama klien OAuth 2.0 Anda, lalu klik Create.

Mengidentifikasi cakupan akses

Dengan cakupan, aplikasi Anda dapat hanya meminta akses ke resource yang diperlukannya, sekaligus memungkinkan pengguna mengontrol jumlah akses yang diberikan ke aplikasi Anda. Dengan demikian, mungkin ada hubungan terbalik antara jumlah cakupan yang diminta dan kemungkinan untuk mendapatkan izin pengguna.

Sebelum mulai menerapkan otorisasi OAuth 2.0, sebaiknya Anda mengidentifikasi cakupan yang memerlukan izin akses untuk aplikasi Anda.

Catatan: Otorisasi inkremental tidak didukung untuk aplikasi atau perangkat terinstal.

YouTube Data API v3 menggunakan cakupan berikut:

Teropong senjata api
https://www.googleapis.com/auth/youtube	Mengelola akun YouTube Anda
https://www.googleapis.com/auth/youtube.channel-memberships.creator	Melihat daftar pelanggan yang saat ini aktif di channel Anda, level mereka saat ini, dan kapan mereka menjadi pelanggan
https://www.googleapis.com/auth/youtube.force-ssl	Melihat, mengedit, dan secara permanen menghapus video, rating, komentar, dan teks YouTube
https://www.googleapis.com/auth/youtube.readonly	Melihat akun YouTube Anda
https://www.googleapis.com/auth/youtube.upload	Mengelola video YouTube Anda
https://www.googleapis.com/auth/youtubepartner	Melihat dan mengelola aset Anda dan konten terkait di YouTube
https://www.googleapis.com/auth/youtubepartner-channel-audit	Melihat informasi pribadi channel YouTube Anda yang relevan selama proses audit bersama partner YouTube

Lihat daftar Cakupan yang diizinkan untuk aplikasi atau perangkat terinstal.

Jika aplikasi publik Anda menggunakan cakupan yang mengizinkan akses ke data pengguna tertentu, aplikasi tersebut harus menyelesaikan proses verifikasi. Jika melihat aplikasi yang belum diverifikasi di layar saat menguji aplikasi, Anda harus mengirimkan permintaan verifikasi untuk menghapusnya. Cari tahu lebih lanjut aplikasi yang belum diverifikasi dan dapatkan jawaban atas pertanyaan umum (FAQ) tentang verifikasi aplikasi di Pusat Bantuan.

Mendapatkan token akses OAuth 2.0

Meskipun aplikasi Anda berjalan di perangkat dengan kemampuan input terbatas, pengguna harus memiliki akses terpisah ke perangkat dengan kemampuan input yang lebih beragam untuk menyelesaikan alur otorisasi ini. Alurnya memiliki langkah-langkah berikut:

1. Aplikasi Anda mengirimkan permintaan ke server otorisasi Google yang mengidentifikasi cakupan yang akan diminta aksesnya oleh aplikasi Anda.
2. Server merespons dengan beberapa informasi yang digunakan dalam langkah berikutnya, seperti kode perangkat dan kode pengguna.
3. Anda menampilkan informasi yang dapat dimasukkan pengguna di perangkat terpisah untuk mengizinkan aplikasi Anda.
4. Aplikasi Anda akan mulai melakukan polling pada server otorisasi Google untuk menentukan apakah pengguna telah memberikan otorisasi pada aplikasi Anda.
5. Pengguna beralih ke perangkat yang memiliki kemampuan input yang lebih lengkap, meluncurkan browser web, membuka URL yang ditampilkan di langkah 3, dan memasukkan kode yang juga ditampilkan di langkah 3. Kemudian, pengguna dapat memberikan (atau menolak) akses ke aplikasi Anda.
6. Respons berikutnya terhadap permintaan polling Anda berisi token yang diperlukan aplikasi Anda untuk mengizinkan permintaan atas nama pengguna. (Jika pengguna menolak akses ke aplikasi Anda, respons tersebut tidak akan berisi token.)

Gambar di bawah mengilustrasikan proses ini:

Bagian berikut menjelaskan langkah-langkah ini secara mendetail. Mengingat beragamnya kemampuan dan lingkungan runtime yang mungkin dimiliki perangkat, contoh yang ditampilkan dalam dokumen ini menggunakan utilitas command line curl. Contoh ini harus mudah ditransfer ke berbagai bahasa dan runtime.

Langkah 1: Minta kode perangkat dan pengguna

Pada langkah ini, perangkat Anda mengirim permintaan POST HTTP ke server otorisasi Google, di https://oauth2.googleapis.com/device/code, yang mengidentifikasi aplikasi Anda serta cakupan akses yang ingin diakses oleh aplikasi Anda atas nama pengguna. Anda harus mengambil URL ini dari Dokumen penemuan menggunakan nilai metadata device_authorization_endpoint. Sertakan parameter permintaan HTTP berikut:

Parameter
client_id	Wajib Client ID untuk aplikasi Anda. Anda dapat menemukan nilai ini di API Console Credentials page.
scope	Wajib Daftar cakupan yang dipisahkan spasi, yang mengidentifikasi resource yang dapat diakses aplikasi Anda untuk pengguna. Nilai ini menentukan layar izin yang ditampilkan Google kepada pengguna. Lihat daftar Cakupan yang diizinkan untuk aplikasi atau perangkat terinstal. Dengan cakupan, aplikasi Anda dapat hanya meminta akses ke resource yang diperlukannya, sekaligus memungkinkan pengguna mengontrol jumlah akses yang diberikan ke aplikasi Anda. Dengan demikian, terdapat hubungan terbalik antara jumlah cakupan yang diminta dan kemungkinan untuk mendapatkan izin pengguna. YouTube Data API v3 menggunakan cakupan berikut: Teropong senjata api https://www.googleapis.com/auth/youtube Mengelola akun YouTube Anda https://www.googleapis.com/auth/youtube.channel-memberships.creator Melihat daftar pelanggan yang saat ini aktif di channel Anda, level mereka saat ini, dan kapan mereka menjadi pelanggan https://www.googleapis.com/auth/youtube.force-ssl Melihat, mengedit, dan secara permanen menghapus video, rating, komentar, dan teks YouTube https://www.googleapis.com/auth/youtube.readonly Melihat akun YouTube Anda https://www.googleapis.com/auth/youtube.upload Mengelola video YouTube Anda https://www.googleapis.com/auth/youtubepartner Melihat dan mengelola aset Anda dan konten terkait di YouTube https://www.googleapis.com/auth/youtubepartner-channel-audit Melihat informasi pribadi channel YouTube Anda yang relevan selama proses audit bersama partner YouTube Dokumen Cakupan OAuth 2.0 API memberikan daftar lengkap cakupan yang dapat Anda gunakan untuk mengakses Google API.

Contoh

Cuplikan berikut menunjukkan contoh permintaan:

POST /device/code HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

client_id=client_id&scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.readonly

Contoh ini menunjukkan perintah curl untuk mengirim permintaan yang sama:

curl -d "client_id=client_id&scope=https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fyoutube.readonly" \
     https://oauth2.googleapis.com/device/code

Langkah 2: Tangani respons server otorisasi

Server otorisasi akan menampilkan salah satu respons berikut:

Respons berhasil

Jika permintaan valid, respons Anda akan berupa objek JSON yang berisi properti berikut:

Properti
device_code	Nilai yang ditetapkan secara unik oleh Google untuk mengidentifikasi perangkat yang menjalankan aplikasi yang meminta otorisasi. Pengguna akan memberikan otorisasi untuk perangkat tersebut dari perangkat lain dengan kemampuan input yang lebih kaya. Misalnya, pengguna mungkin menggunakan laptop atau ponsel untuk mengizinkan aplikasi yang berjalan di TV. Dalam hal ini, device_code mengidentifikasi TV. Kode ini memungkinkan perangkat yang menjalankan aplikasi menentukan dengan aman apakah pengguna telah memberikan atau menolak akses.
expires_in	Durasi waktu, dalam detik, saat device_code dan user_code valid. Jika, pada saat itu, pengguna tidak menyelesaikan alur otorisasi dan perangkat Anda juga tidak melakukan polling untuk mengambil informasi tentang keputusan pengguna, Anda mungkin perlu memulai ulang proses ini dari langkah 1.
interval	Durasi waktu, dalam detik, saat perangkat Anda harus menunggu di antara permintaan polling. Misalnya, jika nilainya 5, perangkat Anda akan mengirimkan permintaan polling ke server otorisasi Google setiap lima detik. Lihat langkah 3 untuk detail selengkapnya.
user_code	Nilai yang peka huruf besar/kecil yang mengidentifikasi kepada Google cakupan yang aksesnya diminta aplikasi. Antarmuka pengguna akan meminta pengguna memasukkan nilai ini di perangkat terpisah dengan kemampuan input yang lebih lengkap. Kemudian, Google akan menggunakan nilai tersebut untuk menampilkan kumpulan cakupan yang benar saat meminta pengguna memberikan akses ke aplikasi Anda.
verification_url	URL yang harus dibuka oleh pengguna, pada perangkat terpisah, untuk memasukkan user_code dan memberikan atau menolak akses ke aplikasi Anda. Antarmuka pengguna Anda juga akan menampilkan nilai ini.

Cuplikan berikut menunjukkan contoh respons:

{
  "device_code": "4/4-GMMhmHCXhWEzkobqIHGG_EnNYYsAkukHspeYUk9E8",
  "user_code": "GQVQ-JKEC",
  "verification_url": "https://www.google.com/device",
  "expires_in": 1800,
  "interval": 5
}

Respons kuota terlampaui

Jika permintaan kode perangkat Anda telah melampaui kuota yang dikaitkan dengan client ID, Anda akan menerima respons 403, yang berisi error berikut:

{
  "error_code": "rate_limit_exceeded"
}

Dalam hal ini, gunakan strategi backoff untuk mengurangi rasio permintaan.

Langkah 3: Tampilkan kode pengguna

Tampilkan verification_url dan user_code yang diperoleh di langkah 2 kepada pengguna. Kedua nilai dapat berisi karakter apa pun yang dapat dicetak dari himpunan karakter US-ASCII. Konten yang Anda tampilkan kepada pengguna harus meminta pengguna membuka verification_url di perangkat terpisah dan memasukkan user_code.

Desain antarmuka pengguna (UI) Anda dengan mempertimbangkan aturan berikut:

• user_code
  • user_code harus ditampilkan di kolom yang dapat menangani 15 karakter berukuran 'W'. Dengan kata lain, jika Anda dapat menampilkan kode WWWWWWWWWWWWWWW dengan benar, UI Anda akan valid, dan sebaiknya gunakan nilai string tersebut saat menguji cara user_code ditampilkan di UI Anda.
  • user_code peka huruf besar/kecil dan tidak boleh dimodifikasi dengan cara apa pun, seperti mengubah huruf besar/kecil atau memasukkan karakter pemformatan lain.
• verification_url
  • Ruang tempat Anda menampilkan verification_url harus cukup lebar untuk menangani string URL yang panjangnya 40 karakter.
  • Anda tidak boleh mengubah verification_url dengan cara apa pun, kecuali jika perlu, menghapus skema untuk ditampilkan. Jika Anda berencana untuk menghapus skema (misalnya https://) dari URL karena alasan tampilan, pastikan aplikasi Anda dapat menangani varian http dan https.

Peringatan: Kedua nilai ini dapat berubah, dan Anda tidak boleh melakukan hardcode pada salah satu nilai dalam kode Anda. Demikian pula, Anda tidak boleh mengubah nilai dengan cara apa pun selain menghapus skema dari verification_url secara opsional.

Langkah 4: Lakukan polling server otorisasi Google

Karena pengguna akan menggunakan perangkat terpisah untuk menavigasi ke verification_url dan memberikan (atau menolak) akses, perangkat yang meminta tidak otomatis diberi tahu saat pengguna merespons permintaan akses. Oleh karena itu, perangkat yang meminta perlu memeriksa server otorisasi Google untuk menentukan kapan pengguna merespons permintaan tersebut.

Perangkat yang meminta harus terus mengirimkan permintaan polling hingga menerima respons yang menunjukkan bahwa pengguna telah merespons permintaan akses atau sampai device_code dan user_code yang diperoleh di langkah 2 tidak berlaku lagi. interval yang ditampilkan di langkah 2 menentukan jumlah waktu, dalam detik, untuk menunggu antarpermintaan.

URL endpoint untuk polling adalah https://oauth2.googleapis.com/token. Permintaan polling berisi parameter berikut:

Parameter
client_id	Client ID untuk aplikasi Anda. Anda dapat menemukan nilai ini di API Console Credentials page.
client_secret	Rahasia klien untuk client_id yang disediakan. Anda dapat menemukan nilai ini di API Console Credentials page.
device_code	device_code yang ditampilkan oleh server otorisasi pada langkah 2.
grant_type	Tetapkan nilai ini ke urn:ietf:params:oauth:grant-type:device_code.

Contoh

Cuplikan berikut menunjukkan contoh permintaan:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

client_id=client_id&
client_secret=client_secret&
device_code=device_code&
grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Adevice_code

Contoh ini menunjukkan perintah curl untuk mengirim permintaan yang sama:

curl -d "client_id=client_id&client_secret=client_secret& \
         device_code=device_code& \
         grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Adevice_code" \
         -H "Content-Type: application/x-www-form-urlencoded" \
         https://oauth2.googleapis.com/token

Langkah 5: Pengguna merespons permintaan akses

Catatan: Aplikasi Anda tidak perlu melakukan apa pun pada tahap ini selain melakukan polling server otorisasi seperti yang dijelaskan pada langkah sebelumnya.

Gambar berikut menampilkan halaman yang mirip dengan yang dilihat pengguna saat mereka membuka verification_url yang Anda tampilkan di langkah 3:

Setelah memasukkan user_code dan, jika belum login ke Google, pengguna akan melihat layar izin seperti yang ditunjukkan di bawah ini:

Langkah 6: Tangani respons terhadap permintaan polling

Server otorisasi Google merespons setiap permintaan polling dengan salah satu respons berikut:

Akses diberikan

Jika pengguna memberikan akses ke perangkat (dengan mengklik Allow di layar izin), respons akan berisi token akses dan token refresh. Token memungkinkan perangkat Anda untuk mengakses Google API atas nama pengguna. (Properti scope dalam respons menentukan API mana yang dapat diakses perangkat.)

Dalam hal ini, respons API berisi kolom-kolom berikut:

Kolom
access_token	Token yang dikirimkan aplikasi Anda untuk mengizinkan permintaan Google API.
expires_in	Sisa masa pakai token akses dalam hitungan detik.
refresh_token	Token yang dapat digunakan untuk mendapatkan token akses baru. Token refresh berlaku hingga pengguna mencabut akses. Perhatikan bahwa token refresh selalu ditampilkan untuk perangkat.
scope	Cakupan akses yang diberikan oleh access_token yang dinyatakan sebagai daftar string yang dipisahkan spasi dan peka huruf besar/kecil.
token_type	Jenis token yang ditampilkan. Saat ini, nilai kolom ini selalu ditetapkan ke Bearer.

Cuplikan berikut menunjukkan contoh respons:

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "scope": "openid https://www.googleapis.com/auth/userinfo.profile https://www.googleapis.com/auth/userinfo.email",
  "token_type": "Bearer",
  "refresh_token": "1/xEoDL4iW3cxlI7yDbSRFYNG01kVKM2C-259HOF2aQbI"
}

Token akses memiliki masa berlaku yang terbatas. Jika aplikasi Anda memerlukan akses ke API dalam jangka waktu yang lama, aplikasi dapat menggunakan token refresh untuk mendapatkan token akses baru. Jika aplikasi Anda memerlukan jenis akses ini, aplikasi harus menyimpan token refresh untuk digunakan nanti.

Akses ditolak

Jika pengguna menolak memberikan akses ke perangkat, respons server akan memiliki kode status respons HTTP 403 (Forbidden). Respons akan berisi error berikut:

{
  "error": "access_denied",
  "error_description": "Forbidden"
}

Otorisasi tertunda

Jika pengguna belum menyelesaikan alur otorisasi, server akan menampilkan kode status respons HTTP 428 (Precondition Required). Respons berisi error berikut:

{
  "error": "authorization_pending",
  "error_description": "Precondition Required"
}

Polling terlalu sering

Jika perangkat terlalu sering mengirim permintaan polling, server akan menampilkan kode status respons HTTP 403 (Forbidden). Respons berisi error berikut:

{
  "error": "slow_down",
  "error_description": "Forbidden"
}

Error lainnya

Server otorisasi juga akan menampilkan error jika permintaan polling tidak memiliki parameter yang diperlukan atau memiliki nilai parameter yang salah. Permintaan ini biasanya memiliki kode status respons HTTP 400 (Bad Request) atau 401 (Unauthorized). Error tersebut mencakup:

Error	Kode Status HTTP	Deskripsi
admin_policy_enforced	400	Akun Google tidak dapat memberikan otorisasi ke satu atau beberapa cakupan yang diminta karena kebijakan administrator Google Workspace mereka. Lihat artikel bantuan Admin Google Workspace Mengontrol aplikasi pihak ketiga & internal mana yang mengakses data Google Workspace untuk mengetahui informasi selengkapnya tentang cara administrator dapat membatasi akses ke cakupan hingga akses diberikan secara eksplisit ke client ID OAuth Anda.
invalid_client	401	Klien OAuth tidak ditemukan. Misalnya, error ini terjadi jika nilai parameter client_id tidak valid. Jenis klien OAuth salah. Pastikan jenis aplikasi untuk client ID disetel ke TV dan perangkat Input Terbatas.
invalid_grant	400	Nilai parameter code tidak valid, telah diklaim, atau tidak dapat diuraikan.
unsupported_grant_type	400	Nilai parameter grant_type tidak valid.
org_internal	403	Client ID OAuth dalam permintaan adalah bagian dari project yang membatasi akses ke Akun Google di Organisasi Google Cloud tertentu. Konfirmasi konfigurasi jenis pengguna untuk aplikasi OAuth Anda.

Memanggil Google API

Setelah aplikasi Anda mendapatkan token akses, Anda dapat menggunakan token tersebut untuk melakukan panggilan ke Google API atas nama akun pengguna tertentu jika cakupan akses yang diperlukan oleh API telah diberikan. Untuk melakukannya, sertakan token akses dalam permintaan ke API dengan menyertakan parameter kueri access_token atau nilai Bearer header HTTP Authorization. Jika memungkinkan, header HTTP akan lebih disukai karena string kueri cenderung terlihat di log server. Pada umumnya, Anda dapat menggunakan library klien untuk menyiapkan panggilan ke Google API (misalnya, saat memanggil YouTube Data API).

Perhatikan bahwa YouTube Data API hanya mendukung akun layanan untuk pemilik konten YouTube yang memiliki dan mengelola beberapa channel YouTube, seperti label rekaman dan studio film.

Anda dapat mencoba semua Google API dan melihat cakupannya di OAuth 2.0 Playground.

Contoh GET HTTP

Panggilan ke endpoint youtube.channels (YouTube Data API) yang menggunakan header HTTP Authorization: Bearer mungkin terlihat seperti berikut. Perhatikan bahwa Anda perlu menentukan token akses Anda sendiri:

GET /youtube/v3/channels?part=snippet&mine=true HTTP/1.1
Host: www.googleapis.com
Authorization: Bearer access_token

Berikut adalah panggilan ke API yang sama untuk pengguna terautentikasi yang menggunakan parameter string kueri access_token:

GET https://www.googleapis.com/youtube/v3/channels?access_token=access_token&part=snippet&mine=true

Contoh curl

Anda dapat menguji perintah ini dengan aplikasi command line curl. Berikut ini contoh yang menggunakan opsi header HTTP (lebih disukai):

curl -H "Authorization: Bearer access_token" https://www.googleapis.com/youtube/v3/channels?part=snippet&mine=true

Atau, sebagai alternatif, opsi parameter string kueri:

curl https://www.googleapis.com/youtube/v3/channels?access_token=access_token&part=snippet&mine=true

Memperbarui token akses

Masa berlaku token akses habis secara berkala dan menjadi kredensial yang tidak valid untuk permintaan API terkait. Anda dapat memperbarui token akses tanpa meminta izin kepada pengguna (termasuk saat pengguna tidak ada) jika Anda meminta akses offline ke cakupan yang terkait dengan token tersebut.

Untuk memperbarui token akses, aplikasi Anda mengirim permintaan POST HTTPS ke server otorisasi Google (https://oauth2.googleapis.com/token) yang menyertakan parameter berikut:

Kolom
client_id	Client ID yang diperoleh dari API Console.
client_secret	Rahasia klien yang diperoleh dari API Console.
grant_type	Seperti yang ditetapkan dalam spesifikasi OAuth 2.0, nilai kolom ini harus ditetapkan ke refresh_token.
refresh_token	Token refresh yang ditampilkan dari pertukaran kode otorisasi.

Cuplikan berikut menunjukkan contoh permintaan:

POST /token HTTP/1.1
Host: oauth2.googleapis.com
Content-Type: application/x-www-form-urlencoded

client_id=your_client_id&
client_secret=your_client_secret&
refresh_token=refresh_token&
grant_type=refresh_token

Selama pengguna belum mencabut akses yang diberikan ke aplikasi, server token akan menampilkan objek JSON yang berisi token akses baru. Cuplikan berikut menunjukkan contoh respons:

{
  "access_token": "1/fFAGRNJru1FTz70BzhT3Zg",
  "expires_in": 3920,
  "scope": "https://www.googleapis.com/auth/drive.metadata.readonly",
  "token_type": "Bearer"
}

Perhatikan bahwa ada batasan jumlah token refresh yang akan dikeluarkan; satu batas per kombinasi klien/pengguna, dan satu batas per pengguna untuk semua klien. Anda harus menyimpan token refresh dalam penyimpanan jangka panjang dan terus menggunakannya selama token tersebut tetap valid. Jika aplikasi Anda meminta terlalu banyak token refresh, aplikasi mungkin akan mencapai batas ini, sehingga token refresh lama akan berhenti berfungsi.

Mencabut token

Dalam beberapa kasus, pengguna mungkin ingin mencabut akses yang diberikan ke aplikasi. Pengguna dapat mencabut akses dengan membuka Setelan Akun. Lihat dokumen dukungan Menghapus akses situs atau aplikasi di situs & aplikasi pihak ketiga yang memiliki akses ke akun Anda untuk mengetahui informasi selengkapnya.

Aplikasi juga dapat mencabut akses yang diberikan kepadanya secara terprogram. Pencabutan terprogram penting jika pengguna berhenti berlangganan, menghapus aplikasi, atau resource API yang diperlukan oleh aplikasi telah berubah secara signifikan. Dengan kata lain, bagian dari proses penghapusan dapat mencakup permintaan API untuk memastikan izin yang sebelumnya diberikan ke aplikasi telah dihapus.

Untuk mencabut token secara terprogram, aplikasi Anda membuat permintaan ke https://oauth2.googleapis.com/revoke dan menyertakan token tersebut sebagai parameter:

curl -d -X -POST --header "Content-type:application/x-www-form-urlencoded" \
        https://oauth2.googleapis.com/revoke?token={token}

Token dapat berupa token akses atau token refresh. Jika token adalah token akses dan memiliki token refresh yang sesuai, token refresh juga akan dicabut.

Jika pencabutan berhasil diproses, kode status HTTP respons tersebut adalah 200. Untuk kondisi error, kode status HTTP 400 ditampilkan bersama dengan kode error.

Catatan: Setelah respons pencabutan berhasil, mungkin perlu waktu beberapa saat sebelum pencabutan diterapkan sepenuhnya.

Cakupan yang diizinkan

Alur OAuth 2.0 untuk perangkat hanya didukung untuk cakupan berikut:

OpenID Connect, Login dengan Google

• email
• openid
• profile

API Drive

• https://www.googleapis.com/auth/drive.appdata
• https://www.googleapis.com/auth/drive.file

YouTube API

• https://www.googleapis.com/auth/youtube
• https://www.googleapis.com/auth/youtube.readonly