Avant de lancer une application qui demande des identifiants utilisateur pour l'API Data Manager à des utilisateurs externes, votre projet Google Cloud doit passer par la validation de l'application Google OAuth.
Ce guide décrit les transitions de configuration d'audience recommandées pendant le développement et les étapes à suivre pour valider l'application Google OAuth.
Phases d'audience de l'application
En fonction de votre étape de développement, configurez la page "Audience" dans la console Google Cloud avec différents paramètres Type d'utilisateur et État de publication. Suivez ces phases pour une transition en douceur des tests initiaux au lancement en production.
Phase 1 : Développement initial (tests)
Lorsque vous commencez à développer et à tester des requêtes API de base :
État de publication : défini sur Test.
Type d'utilisateur :
Si votre projet Google Cloud appartient à une organisation Google Workspace et que seuls les utilisateurs de votre organisation utilisent l'application, sélectionnez Interne.
Sinon, sélectionnez Externe.
Utilisateurs de test : si vous définissez le type d'utilisateur sur Externe, cliquez sur Ajouter des utilisateurs pour ajouter manuellement les comptes Google que vous utilisez pour générer des identifiants. Seuls les comptes Google listés peuvent autoriser l'application, et les limites de test et règles d'expiration des jetons s'appliquent.
La validation n'est pas requise pendant les tests. Si vous utilisez Externe, les testeurs voient un écran d'avertissement confirmant qu'ils ont un accès test à une application non validée avant de passer à l'écran de consentement.
Phase 2 : Lancement imminent (envoi de la demande de validation)
Lorsque votre intégration est terminée, que votre interface utilisateur est créée et que vous prévoyez de lancer votre application dans le mois à venir :
Mettez à jour les paramètres de la page "Audience" :
État de publication : passe à En production.
Type d'utilisateur : définissez cette option sur Externe si votre application s'adresse à des clients extérieurs à votre organisation, tels que des clients annonceurs.
Envoyez votre application pour validation. La procédure de validation de l'application Google OAuth peut prendre plusieurs semaines. Envoyez-la donc dès que possible une fois votre UI prête.
Exigences de validation des applications
Pour envoyer votre application pour validation dans le Centre de validation, configurez vos paramètres Google Auth Platform et préparez les éléments de validation requis.
Branding et règles de confidentialité
Sur la page Branding de la console Google Cloud, vérifiez les informations suivantes avant d'envoyer votre demande :
Page d'accueil de l'application : votre page d'accueil doit être accessible au public et inclure un lien visible vers les règles de confidentialité de votre application.
Lien vers les règles de confidentialité : l'URL des règles de confidentialité configurée sur la page Branding doit correspondre à l'URL des règles de confidentialité associée à la page d'accueil de votre application.
Champs d'application de la validation
Sur la page "Accès aux données", ne demandez que les champs d'application dont votre application a besoin. L'API Data Manager utilise des champs d'application sensibles :
https://www.googleapis.com/auth/datamanager(champ d'application principal)https://www.googleapis.com/auth/datamanager.partnerlink(pour les liens partenaires)
Dans votre demande de validation, fournissez une explication écrite détaillée de la raison pour laquelle votre application nécessite l'accès aux champs d'application demandés.
Coordonnées
L'équipe de validation Google OAuth envoie toutes les communications aux propriétaires du projet et aux éditeurs du projet configurés dans votre projet Google Cloud. Maintenez ces coordonnées à jour dans la console Google Cloud pour ne pas manquer les demandes d'informations.
Si l'équipe de validation vous envoie des questions complémentaires ou vous demande des modifications (par exemple, des modifications de votre vidéo de démonstration ou des paramètres de l'écran de consentement), l'examen est suspendu jusqu'à ce que vous répondiez. Si votre demande est en attente depuis plus de quelques semaines sans mise à jour, vérifiez les boîtes de réception (y compris les dossiers de spam et de courrier indésirable) de tous les propriétaires et éditeurs du projet.
Vidéo de démonstration
Fournissez un lien vers une vidéo de démonstration accessible au public (par exemple, une vidéo YouTube non répertoriée ou un lien Google Drive public) montrant comment votre application utilise les champs d'application demandés.
Assurez-vous que la vidéo respecte toutes les exigences concernant la vidéo de démonstration des fonctionnalités de l'application, y compris les vérifications suivantes de l'API Data Manager :
Parcours utilisateur de bout en bout et authentification OAuth : montrez l'intégralité du parcours utilisateur dans votre application, depuis le moment où l'utilisateur lance la connexion ou l'autorisation jusqu'à la fin du flux d'authentification OAuth.
Identité de l'application correspondante : assurez-vous que le nom, le logo et l'image de marque de l'application affichés dans la vidéo correspondent à la configuration de la page "Branding" dans la console Google Cloud.
Écran de consentement OAuth complet en anglais : affichez l'intégralité de l'écran de consentement OAuth avec le sélecteur de langue en bas à gauche défini sur Anglais, et assurez-vous que l'écran affiche les champs d'application exacts de l'API Data Manager demandés par votre application.
Utilisation des champs d'application dans l'UI de votre application : présentez les fonctionnalités de l'application qui utilisent les champs d'application demandés (par exemple, la création d'un lien partenaire, la création d'une liste d'audience ou la configuration de l'ingestion de données dans l'UI de votre application).
Phase 3 : Prêt pour le lancement (validé)
Une fois que l'équipe de validation Google OAuth vous a informé qu'elle a approuvé votre demande de validation d'application, aucune action n'est requise. Votre application est désormais validée, et les utilisateurs externes peuvent l'autoriser sans voir l'écran d'avertissement indiquant qu'elle n'est pas validée.