Verificação de escopo restrito

Algumas APIs do Google (as que aceitam Sensível ou escopos restritos) têm requisitos para apps que buscam permissão para acessar dados do consumidor. Estes requisitos adicionais para escopos restritos exigem que o aplicativo demonstre que ele é um tipo de aplicativo permitido e envie para análises adicionais, que incluem uma possível avaliação de segurança.

A aplicabilidade de escopos restritos em uma API depende principalmente do grau de acesso necessárias para fornecer um recurso relevante no app: somente leitura, somente gravação, leitura e gravação, etc.

Ao usar o OAuth 2.0 para receber permissão de uma Conta do Google para acessar esses dados, você usa strings chamadas scopes para especificar o tipo de dados que você quer acessar e quanto acesso de que precisa. Se o app solicitar sensitive ou escopos restritos, conclua a verificação processo, a menos que o uso do app se qualifique para uma exceção.

Os escopos restritos são menores do que os sensíveis. A verificação As perguntas frequentes sobre a verificação da API OAuth contêm a lista atual de escopos sensíveis e restritos. Esses escopos dão amplo acesso aos dados dos usuários do Google e exigem que você passe por uma verificação de escopo antes de solicitar os escopos de qualquer Conta do Google. Para mais informações requisito, consulte a Política de dados do usuário dos serviços de API do Google e Requisitos adicionais para escopos de API específicos ou a página específica do produto no Google Developers. Se você armazenar ou transmitir dados de escopo restrito em servidores, será necessário concluir uma avaliação de segurança.

Noções básicas sobre escopos restritos

Caso seu app solicite escopos restritos e não se qualifique para uma exceção, será necessário atender Requisitos adicionais para escopos específicos da API dos dados do usuário dos serviços de API do Google política ou requisitos específicos do produto Página do Google Developers, o que exige um processo de análise mais extenso.

Entenda o uso do seu escopo

• Analise os escopos que o app usa ou que você quer usar. Para encontrar o uso do escopo que já existe, examinar o código-fonte do seu aplicativo em busca de escopos enviados com solicitações de autorização.
• Determinar se cada escopo solicitado é necessário para as ações pretendidas do recurso do app e usa o mínimo de privilégio necessário para fornecer o recurso. Uma API do Google normalmente tem documentação de referência sobre o Página do Google Developers para os endpoints, que inclui o escopo necessário para chamar o endpoint ou propriedades específicas nele. Para mais informações sobre os escopos necessários acesso aos endpoints de API que seu aplicativo chama, leia a documentação de referência desses endpoints. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
• Os dados que você recebe de uma API do Google só podem ser usados em conformidade com as políticas de e da maneira como você representa para os usuários nas ações e nos Política de Privacidade do Google.
• Consulte a documentação da API para saber mais sobre cada escopo, incluindo os possíveis sensitive or restricted status.
• Declare todos os escopos usados pelo app na página de escopos de configuração da tela de consentimento do OAuth API Console. Os escopos especificados são agrupados em informações sensíveis ou restritas para destacar as verificações adicionais necessárias.
• Encontrar o melhor escopo que corresponda aos dados usados pela sua integração, entender seu uso, reconfirme se tudo ainda funciona em um ambiente de teste e prepare-se para enviar para verificação.

Considere o tempo necessário para concluir a verificação no plano de lançamento de seu ou novos recursos que exigem um novo escopo. Um desses requisitos adicionais ocorre se o app acessa ou tem a capacidade de acessar dados do usuário do Google de ou por um servidor. Em nesses casos, o sistema deve passar por uma avaliação de segurança feita por um avaliador terceirizado e independente aprovado pelo Google. Por esse motivo, o processo de verificação de escopos restritos pode pode levar várias semanas para ser concluído. Observe que todos os aplicativos devem completar o marca verificação primeiro, o que normalmente leva de dois a três dias úteis, se as informações de marca mudou desde a última verificação aprovada da tela de consentimento do OAuth.

Tipos de aplicativos permitidos

Certos tipos de aplicativos podem acessar escopos restritos de cada produto. Acesse o link aplicativos específicos nos produtos Página do desenvolvedor do Google (por exemplo, a política da API Gmail).

É sua responsabilidade entender e determinar o tipo de app. No entanto, se não tiver certeza sobre o tipo de aplicativo do seu aplicativo, você poderá selecionar opções para a pergunta Quais recursos você vai usar? ao enviar o app para verificação. A equipe de verificação da API do Google determinará o tipo de aplicativo.

Avaliação de segurança

Todo app que solicita acesso aos recursos dados restritos e tem a capacidade de acessar de um servidor de terceiros ou por meio dele precisam passar por uma avaliação de segurança avaliadores de segurança encarregados pelo Google. Essa avaliação ajuda a manter dados em segurança verificar se todos os apps que acessam os dados de usuários do Google demonstram a capacidade de lidar com esses dados. com segurança e excluir dados do usuário mediante solicitação.

Para padronizar nossa avaliação de segurança, utilizamos o App Defense Alliance e a framework de avaliação de segurança de aplicativos na nuvem (CASA).

Como mencionado anteriormente, para manter o acesso a qualquer escopo restrito verificado, os apps precisam ser verificados novamente para compliance e concluir uma avaliação de segurança pelo menos a cada 12 meses após a data de aprovação da carta de avaliação (LOA, na sigla em inglês) do avaliador. Se o app adicionar um novo escopo restrito, talvez seja necessário reavaliá-lo para cobrir o escopo adicional se ele não tiver sido incluído em uma avaliação de segurança anterior.

A equipe de análise do Google envia um e-mail quando é o momento de renovar a certificação do app. Para ter certeza de que membros corretos de sua equipe são notificados sobre essa aplicação anual, associe outros membros Contas com seu API Console projeto como Proprietário ou Editor. Isso também ajuda a manter os e-mails de contato do suporte ao usuário e do desenvolvedor atualizados especificado no Google API Console OAuth Consent Screen page.

Etapas para se preparar para a verificação

Todos os apps que usam APIs do Google para solicitar acesso a dados precisam seguir estas etapas para concluir a verificação de marca:

1. Confirme se o app não se enquadra em nenhum dos casos de uso da seção Exceções aos requisitos de verificação.
2. Verifique se o app está em conformidade com os requisitos de marca das APIs associadas ou produto. Por exemplo, consulte as diretrizes de branding. para escopos do Login do Google.
3. Verifique a propriedade do domínios autorizados na Google Search Console. Usar uma Conta do Google A conta associada ao seu API Console projeto como uma proprietário ou editor.
4. Verifique se todas as informações de marca na tela de permissão OAuth, como o nome do app, são compatíveis e-mail, URI da página inicial, URI da política de privacidade etc. representa com precisão a identidade do aplicativo.

Requisitos da página inicial do aplicativo

Verifique se a página inicial atende aos seguintes requisitos:

• Sua página inicial precisa estar acessível publicamente, e não apenas para usuários conectados do seu site.
• A relevância da sua página inicial para o app em revisão precisa ser clara.
• Links para a página "Detalhes do app" na Google Play Store ou na página do Facebook não são considerados páginas iniciais de aplicativos válidas.

Requisitos para o link da Política de Privacidade do aplicativo

A Política de Privacidade do seu app precisa atender aos seguintes requisitos:

• A Política de Privacidade precisa estar visível para os usuários e estar hospedada no mesmo domínio do seu do aplicativo do Google e vinculados à tela de permissão OAuth do Google API Console: A página inicial deve incluir um descrição da funcionalidade do app, bem como links para a Política de Privacidade e os termos de serviço opcionais.
• A política de privacidade precisa divulgar a maneira como seu aplicativo acessa, usa armazena ou compartilha dados dos usuários do Google. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. É necessário limitar o uso de dados do usuário do Google às práticas divulgadas na sua Política de Privacidade publicada.
• Review example cases of privacy policies that don't meet the Limited Use requirements.

Como enviar seu app para verificação

Um Google API Console projeto organiza todos os seus API Console . Um projeto consiste em um conjunto de recursos Contas do Google que tenham permissão para executar operações de projeto, um conjunto de APIs ativadas e as configurações de faturamento, autenticação e monitoramento dessas APIs. Por exemplo, um projeto pode contêm um ou mais clientes OAuth, configura APIs para esses clientes e define uma Tela de consentimento OAuth exibida aos usuários antes que eles autorizem o acesso ao app.

Se algum dos seus clientes OAuth não estiver pronto para produção, sugerimos que você o exclua o projeto que está solicitando a verificação. Você pode fazer isso no Google API Console:

Para enviar para verificação, siga estas etapas:

1. Verifique se o app obedece aos Termos de Serviço das APIs do Google e à Política de dados do usuário dos serviços de API do Google.
2. Mantenha atuais os papéis de proprietário e editor das contas associadas ao projeto, bem como o e-mail de suporte ao usuário da tela de consentimento OAuth e os dados de contato do desenvolvedor na sua API Console: Isso garante que os membros corretos equipe de segurança são notificadas sobre novos requisitos.
3. Acesse a API Console OAuth Consent Screen page.
4. Clique no botão Seletor de projetos.

5. Na caixa de diálogo Selecionar de exibida, selecione seu projeto. Se você não conseguir encontrar projeto, mas souber o ID dele, poderá criar um URL no navegador da seguinte formato:

   https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

   Substitua [PROJECT_ID] pelo ID do projeto que você quer usar.

6. Selecione o botão Edit App.
7. Insira as informações necessárias na página da tela de permissão OAuth e selecione a opção Salvar e continuar.
8. Use o botão Add or remove scopes para declarar todos os escopos solicitados pelo app. Um conjunto inicial de escopos necessários para o Login do Google é preenchido automaticamente na seção Non-sensitive scopes. Os escopos adicionados são classificados como não confidenciais, sensitive, or restricted:
9. Forneça até três links para documentos relevantes sobre recursos relacionados no app.

10. Forneça todas as informações adicionais solicitadas sobre seu app nas próximas etapas.

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
       5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
11. Se a configuração do app fornecida exigir verificação, você poderá enviá-la o app para verificação. Preencha os campos obrigatórios e clique em Enviar para iniciar o processo de verificação.

Depois de enviar seu app, a equipe de confiança A equipe de segurança faz o acompanhamento por e-mail outras informações de que precisam ou etapas que você precisa concluir. Verifique seus endereços de e-mail no Seção Dados de contato do desenvolvedor e o e-mail de suporte do seu consentimento do OAuth para solicitações de informações adicionais. Também é possível conferir o consentimento de OAuth do seu projeto página da tela para confirmar o status de revisão atual do projeto, incluindo se o processo de revisão está pausado enquanto aguardamos sua resposta.

Exceções aos requisitos de verificação

Caso seu app seja usado em qualquer um dos cenários descritos nas seções a seguir, não precisará enviá-lo para análise.

Uso pessoal

Um caso de uso é se você for o único usuário do seu app ou se ele for usado por apenas alguns usuários, todos conhecidos pessoalmente por você. Você e seu número limitado de usuários podem se sentir à vontade para avançar pela tela do app não verificado e conceder acesso às suas contas pessoais ao app.

Projetos usados em camadas de desenvolvimento, teste ou preparação

Para cumprir as Políticas do OAuth 2.0 do Google, é recomendável ter projetos diferentes para ambientes de teste e produção. Recomendamos que você envie seu app somente para verificação se quiser disponibilizar o app para qualquer usuário com uma Conta do Google. Portanto, se o seu app está nas fases de desenvolvimento, teste ou preparo, a verificação não é necessária.

Se o app estiver nas fases de desenvolvimento ou teste, você pode sair do Status da publicação usando a configuração padrão Teste. Essa configuração significa que seu app ainda está em desenvolvimento disponível para os usuários que você adicionar à lista de usuários de teste. Você precisa gerenciar a lista de Contas do Google envolvidas no desenvolvimento ou teste do app.

Somente dados do serviço

Se o app usa uma conta de serviço para acessar apenas os próprios dados e não acessa nenhum usuário dados (vinculados a uma Conta do Google), você não precisará enviá-los para verificação.

Para entender o que são contas de serviço, consulte Contas de serviço no na documentação do Google Cloud. Para instruções sobre como usar uma conta de serviço, consulte Como usar o OAuth 2.0 de servidor para servidor aplicativos.

Somente para uso interno

Isso significa que o app é usado apenas pelas pessoas no seu Google Workspace ou Cloud Identity organização. O projeto precisa ser de propriedade da organização e da tela de permissão OAuth precisa ser configurado Usuário interno tipo. Nesse caso, talvez o app precise da aprovação de um administrador da organização. Para mais informações, consulte Outros considerações sobre o Google Workspace.

• Saiba mais sobre públicos e aplicativos internos.
• Saiba como marcar seu app como interno nas perguntas frequentes Como posso marcar meu app como interno?

Instalação em todo o domínio

Se você planeja que o app segmente apenas usuários de uma conta do Google Workspace ou do Cloud Identity organização e sempre usam todo o domínio instalação, ele não exigirá a verificação de apps. Isso ocorre porque uma conta de serviço permite que um administrador de domínio conceda a apps internos e de terceiros acesso aos dos seus usuários dados. Os administradores da organização são as únicas contas que podem adicionar o app a um lista de permissões para uso nos próprios domínios.

Saiba como tornar seu app uma instalação em todo o domínio nas Perguntas frequentes Meu aplicativo tem usuários com contas empresariais de outro domínio do Google Workspace.