Verifica dell'ambito con restrizioni

Alcune API di Google (quelle che accettano ambiti sensibili o con restrizioni ) hanno requisiti per le app che richiedono l'autorizzazione per accedere ai dati dei consumatori. Questi requisiti aggiuntivi per gli ambiti con limitazioni richiedono a un'app di dimostrare di essere un tipo di applicazione consentito e di sottoporsi a revisioni aggiuntive, che includono una possibile valutazione della sicurezza.

L'applicabilità degli ambiti con limitazioni all'interno di un'API dipende principalmente dal grado di accesso necessario per fornire una funzionalità pertinente nella tua app: sola lettura, sola scrittura, lettura e scrittura, ecc.

Quando utilizzi OAuth 2.0 per ottenere l'autorizzazione da un Account Google per accedere a questi dati, utilizzi stringhe chiamate ambiti per specificare il tipo di dati a cui vuoi accedere e il livello di accesso di cui hai bisogno. Se la tua app richiede ambiti sensibili o con restrizioni, devi completare la procedura di verifica, a meno che l'utilizzo della tua app non soddisfi i requisiti per un'eccezione.

Gli ambiti con limitazioni sono meno numerosi rispetto agli ambiti sensibili. Le domande frequenti sulla verifica delle API OAuth contengono l'elenco attuale degli ambiti sensibili e con restrizioni. Questi ambiti forniscono un ampio accesso ai dati utente di Google e richiedono di superare una procedura di verifica prima di poterli richiedere da qualsiasi Account Google. Per informazioni su questo requisito, consulta le Norme relative ai dati utente dei servizi API di Google e i Requisiti aggiuntivi per ambiti API specifici o la pagina Google Developers specifica del prodotto. Se memorizzi o trasmetti dati con ambiti con restrizioni sui server, devi completare una valutazione della sicurezza.

Informazioni sugli ambiti con restrizioni

Se la tua app richiede ambiti con restrizioni e non soddisfa i requisiti per un'eccezione, devi soddisfare i Requisiti aggiuntivi per gli ambiti API specifici delle Norme relative ai dati utente dei servizi API di Google o i requisiti specifici del prodotto nella pagina Google Developers del prodotto, che richiede una procedura di revisione più approfondita.

Comprendere l'utilizzo degli ambiti

  • Esamina gli ambiti utilizzati dalla tua app o che vuoi utilizzare. Per trovare l'utilizzo degli ambiti esistenti, esamina il codice sorgente della tua app per individuare gli ambiti inviati con le richieste di autorizzazione.
  • Determina che ogni ambito richiesto sia necessario per le azioni previste della funzionalità della tua app e utilizzi il privilegio minimo necessario per fornire la funzionalità. Un'API Google in genere ha documentazione di riferimento sugli endpoint del prodotto nella pagina per sviluppatori Google, che include l'ambito richiesto per chiamare l'endpoint o proprietà specifiche al suo interno. Per ulteriori informazioni sugli ambiti di accesso necessari per gli endpoint API chiamati dalla tua app, leggi la documentazione di riferimento di questi endpoint. For example, for an app that only uses Gmail APIs to occasionally send emails on a user's behalf, don't request the scope that provides full access to the user's email data.
  • I dati che ricevi da un'API Google devono essere utilizzati solo in conformità con le norme dell'API e nel modo in cui li presenti ai tuoi utenti nelle azioni dell'app e nelle norme sulla privacy.
  • Consulta la documentazione dell'API per scoprire di più su ogni ambito, incluso il suo potenziale sensitive or restricted stato.
  • Dichiara tutti gli ambiti utilizzati dalla tua app nel Data Access page. Cloud Console Gli ambiti specificati sono raggruppati in categorie sensibili o con restrizioni per evidenziare eventuali verifiche aggiuntive richieste.
  • Trova l'ambito migliore che corrisponda ai dati utilizzati dall'integrazione, comprendi il suo utilizzo, verifica nuovamente che tutto funzioni ancora in un ambiente di test e poi preparati a inviare la richiesta di verifica.

Assicurati di tenere conto del tempo necessario per completare la verifica nel tuo piano di lancio per la tua app o per qualsiasi nuova funzionalità che richieda un nuovo ambito. Uno di questi requisiti aggiuntivi si verifica se l'app accede o ha la capacità di accedere ai dati utente Google da o tramite un server. In questi casi, il sistema deve essere sottoposto a una valutazione della sicurezza annuale da parte di un revisore indipendente di terze parti approvato da Google. Per questo motivo, il processo di verifica degli ambiti con restrizioni può richiedere diverse settimane. Tieni presente che tutte le app devono completare prima il passaggio di verifica del brand, che in genere richiede 2-3 giorni lavorativi, se le informazioni sul branding sono cambiate rispetto all'ultima verifica approvata della schermata di consenso OAuth.

Tipi di applicazioni consentiti

Alcuni tipi di applicazioni possono accedere agli ambiti con limitazioni per ogni prodotto. Puoi trovare i tipi di applicazioni nella pagina di Google Developers specifica del prodotto (ad esempio, le norme dell'API Gmail).

È tua responsabilità comprendere e determinare il tipo di app. Tuttavia, se non hai la certezza del tipo di applicazione della tua app, puoi non selezionare nessuna opzione per la domanda Quali funzionalità utilizzerai? quando invii l'app per la verifica. Il team di verifica dell'API di Google determinerà quindi il tipo di applicazione.

Security assessment

Ogni app che richiede l'accesso ai dati con restrizioni degli utenti Google e che ha la possibilità di accedere ai dati da o tramite un server di terze parti deve essere sottoposta a una valutazione della sicurezza da parte di valutatori della sicurezza nominati da Google. Questa valutazione contribuisce a proteggere i dati degli utenti Google verificando che tutte le app che accedono ai dati degli utenti Google dimostrino la capacità di gestire i dati in modo sicuro ed eliminare i dati degli utenti su richiesta.

Per standardizzare la nostra valutazione della sicurezza, utilizziamo l' App Defense Alliance e il framework di valutazione della sicurezza delle applicazioni cloud (CASA).

Come accennato in precedenza, per mantenere l'accesso a qualsiasi ambito con limitazioni verificato, le app devono essere verificate nuovamente per la conformità e completare una valutazione della sicurezza almeno ogni 12 mesi dopo la data di approvazione della lettera di valutazione (LOA) del valutatore. Se la tua app aggiunge un nuovo ambito con limitazioni, potrebbe essere necessario valutarla nuovamente per coprire l'ambito aggiuntivo se non era incluso in una precedente valutazione della sicurezza.

Il team di revisione di Google ti invia un'email quando è il momento di ricertificare la tua app. Per assicurarti che i membri corretti del tuo team vengano informati di questa applicazione annuale, associa altri Account Google al tuo progetto Cloud Console come proprietario o editor. Inoltre, consente di mantenere aggiornate le email di assistenza utente e di contatto dello sviluppatore specificate in Google Cloud Console OAuth Branding page.

Passaggi per prepararsi alla verifica

Tutte le app che utilizzano le API di Google per richiedere l'accesso ai dati devono eseguire i seguenti passaggi per completare la verifica del brand:

  1. Verifica che la tua app non rientri in nessuno dei casi d'uso descritti nella sezione Eccezioni ai requisiti di verifica.
  2. Assicurati che la tua app rispetti i requisiti di branding delle API o del prodotto associati. Ad esempio, consulta le linee guida per il branding per gli ambiti di Accedi con Google.
  3. Verifica la proprietà dei domini autorizzati del tuo progetto in Google Search Console. Utilizza un Account Google associato al tuo progetto come proprietario o editor. API Console
  4. Assicurati che tutte le informazioni sul brand nella schermata per il consenso OAuth, come il nome dell'app, l'email di assistenza, l'URI della home page, l'URI dell'informativa sulla privacy e così via, rappresentino con precisione l'identità dell'app.

Requisiti della home page dell'applicazione

Assicurati che la tua home page soddisfi i seguenti requisiti:

  • La tua home page deve essere accessibile pubblicamente e non solo agli utenti che hanno eseguito l'accesso al tuo sito.
  • La pertinenza della home page rispetto all'app in fase di revisione deve essere chiara.
  • I link alla scheda della tua app sul Google Play Store o alla sua pagina Facebook non sono considerati pagine iniziali dell'applicazione valide.

Requisiti per il link alle norme sulla privacy dell'applicazione

Assicurati che le norme sulla privacy della tua app soddisfino i seguenti requisiti:

  • Le norme sulla privacy devono essere visibili agli utenti, ospitate nello stesso dominio della home page dell'applicazione e collegate nella schermata per il consenso OAuth di Google API Console. Tieni presente che la home page deve includere una descrizione della funzionalità dell'app, nonché link alle norme sulla privacy e ai termini di servizio opzionali.
  • Le norme sulla privacy devono indicare la modalità di accesso, utilizzo, memorizzazione o condivisione dei dati utente di Google da parte della tua applicazione. The privacy policy must comply with the Google API Services User Data Policy and the Limited Use requirements for restricted scopes. Devi limitare l'utilizzo dei dati utente di Google alle pratiche descritte nelle norme sulla privacy pubblicate.
  • Review example cases of privacy policies that don't meet the Limited Use requirements.

Come richiedere la verifica della tua app

Un Google Cloud Console progetto organizza tutte le tue risorse Cloud Console . Un progetto è composto da un insieme di account Google associati che dispongono dell'autorizzazione per eseguire operazioni sul progetto, un insieme di API abilitate e impostazioni di fatturazione, autenticazione e monitoraggio per queste API. Ad esempio, un progetto può contenere uno o più client OAuth, configurare le API da utilizzare da questi client e configurare una schermata per il consenso OAuth che viene mostrata agli utenti prima che autorizzino l'accesso alla tua app.

Se uno dei tuoi client OAuth non è pronto per la produzione, ti consigliamo di eliminarlo dal progetto che richiede la verifica. Puoi farlo in Clients page.

Per inviare la richiesta di verifica:

  1. Assicurati che la tua app sia conforme ai Termini di servizio delle API di Google e alle Norme relative ai dati utente dei servizi API di Google.
  2. Mantieni aggiornati i ruoli di proprietario ed editor degli account associati al progetto, nonché l'email per l'assistenza utente e i dati di contatto dello sviluppatore della schermata per il consenso OAuth in Cloud Console. In questo modo, i membri corretti del tuo team vengono informati di eventuali nuovi requisiti.
  3. Vai al Cloud Console Centro di verifica OAuth.
  4. Fai clic sul pulsante Selettore progetti.

  5. Nella finestra di dialogo Seleziona da visualizzata, seleziona il tuo progetto. Se non riesci a trovare il tuo progetto, ma conosci il suo ID, puoi creare un URL nel browser nel seguente formato:

    https://console.developers.google.com/auth/branding?project=[PROJECT_ID]

    Sostituisci [PROJECT_ID] con l'ID progetto che vuoi utilizzare.

  6. Seleziona il pulsante Modifica app.
  7. Inserisci le informazioni necessarie nella pagina della schermata per il consenso OAuth, quindi seleziona il pulsante Salva e continua.
  8. Utilizza il pulsante Aggiungi o rimuovi ambiti per dichiarare tutti gli ambiti richiesti dalla tua app. Un insieme iniziale di ambiti necessari per Accedi con Google è precompilato nella sezione Ambiti non sensibili. Gli ambiti aggiunti sono classificati come non sensibili, sensitive, or restricted.
  9. Fornisci fino a tre link a documentazione pertinente per le funzionalità correlate nella tua app.

  10. Fornisci eventuali informazioni aggiuntive richieste sulla tua app nei passaggi successivi.

    1. Ensure your app complies with the Additional requirements for specific API scopes, which includes undergoing an annual security assessment if your app accesses restricted scope Google users' data from or through a third-party server.
    2. Ensure your app is one of the allowed types specified in the Limited Use section of the Additional requirements for specific API scopes page.
    3. If your app is a task automation platform, your demonstration video must showcase how multiple API workflows are created and automated, and in which directions user data flows.

    4. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

      1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
      2. Show that the OAuth consent screen correctly displays the App Name.
      3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
      4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive and restricted scope that you request.
      5. If you use multiple clients, and therefore have multiple OAuth client IDs, show how the data is accessed on each OAuth client.
    5. Select your permitted application type from the "What features will you use?" list.
    6. Describe how you will use the restricted scopes in your app and why more limited scopes aren't sufficient.
  11. Se la configurazione dell'app che fornisci richiede la verifica, hai la possibilità di inviare l'app per la verifica. Compila i campi obbligatori e poi fai clic su Invia per avviare la procedura di verifica.

Dopo l'invio dell'app, il team Trust & Safety di Google ti contatterà via email per richiedere eventuali informazioni aggiuntive o passaggi da completare. Controlla i tuoi indirizzi email nella sezione Informazioni di contatto dello sviluppatore e l'email di assistenza della schermata per il consenso OAuth per le richieste di ulteriori informazioni. Puoi anche visualizzare la pagina della schermata per il consenso OAuth del progetto per confermare lo stato attuale della revisione, incluso se la procedura di revisione è in pausa in attesa di una tua risposta.

Eccezioni ai requisiti di verifica

Se la tua app verrà utilizzata in uno degli scenari descritti nelle sezioni seguenti, non devi inviarla per la revisione.

Utilizzo personale

Un caso d'uso è se sei l'unico utente della tua app o se la tua app viene utilizzata solo da pochi utenti, che conosci personalmente. Tu e il tuo numero limitato di utenti potreste sentirvi a vostro agio con l'avanzamento nella schermata dell'app non verificata e con la concessione dell'accesso dei tuoi account personali alla tua app.

Progetti utilizzati nei livelli Sviluppo, Test o Staging

Per rispettare i criteri Google OAuth 2.0, ti consigliamo di utilizzare progetti diversi per gli ambienti di test e di produzione. Ti consigliamo di inviare la tua app per la verifica solo se vuoi renderla disponibile a qualsiasi utente con un Account Google. Pertanto, se la tua app è in fase di sviluppo, test o gestione temporanea, la verifica non è obbligatoria.

Se la tua app è in fase di sviluppo o test, puoi lasciare lo Stato di pubblicazione nell'impostazione predefinita di Test. Questa impostazione indica che la tua app è ancora in fase di sviluppo ed è disponibile solo per gli utenti che aggiungi all'elenco di utenti di test. Devi gestire l'elenco degli Account Google coinvolti nello sviluppo o nel test della tua app.

Messaggio di avviso che indica che Google non ha verificato un'app in fase di test.
Figura 1. Schermata di avviso per i tester

Solo dati di proprietà del servizio

Se la tua app utilizza un service account per accedere solo ai propri dati e non accede a dati utente (collegati a un Account Google), non devi richiedere la verifica.

Per capire cosa sono i service account, consulta la sezione Service account nella documentazione di Google Cloud. Per istruzioni su come utilizzare un service account, consulta Utilizzo di OAuth 2.0 per applicazioni server-to-server.

Solo per uso interno

Ciò significa che l'app viene utilizzata solo dalle persone della tua organizzazione Google Workspace o Cloud Identity. Il progetto deve essere di proprietà dell'organizzazione e la relativa schermata per il consenso OAuth deve essere configurata per un tipo di utente interno. In questo caso, la tua app potrebbe richiedere l'approvazione di un amministratore dell'organizzazione. Per maggiori informazioni, vedi Ulteriori considerazioni per Google Workspace.

Installazione a livello di dominio

Se prevedi che la tua app abbia come target solo gli utenti di un'organizzazione Google Workspace o Cloud Identity e utilizzi sempre l'installazione a livello di dominio, la tua app non richiederà la verifica. Questo perché un'installazione a livello di dominio consente a un amministratore di dominio di concedere alle applicazioni interne e di terze parti l'accesso ai dati dei tuoi utenti. Gli amministratori dell'organizzazione sono gli unici account che possono aggiungere l'app a una lista consentita per l'utilizzo all'interno dei propri domini.

Scopri come rendere la tua app un'installazione a livello di dominio nelle domande frequenti La mia applicazione ha utenti con account aziendali di un altro dominio Google Workspace.