Hassas kapsam doğrulaması

Uygulamanız, Google kullanıcılarının verilerine erişmek için Google API'lerini kullanma izni istiyorsa uygulamanızı ilk kez herkese açık olarak kullanıma sunmadan önce bir doğrulama sürecini tamamlamanız gerekebilir.

Bu şartın uygulamanız için geçerli olup olmadığı büyük ölçüde iki faktöre bağlıdır:

1. Eriştiğiniz kullanıcı verilerinin türü (ör. herkese açık profil bilgileri, takvim girişleri, Drive'daki dosyalar, belirli sağlık ve fitness verileri)
2. İhtiyacınız olan erişim derecesi (salt okuma, okuma ve yazma vb.)

Bir Google Hesabı'ndan verilerine erişmek için izin almak üzere OAuth 2.0'ı kullandığınızda, kullanıcı adına erişmek istediğiniz veri türünü belirtmek için kapsamlar adı verilen dizeleri kullanırsınız. Uygulamanız hassas veya kısıtlanmış olarak sınıflandırılan kapsamlar istiyorsa uygulamanızın kullanımı istisna için uygun olmadığı sürece doğrulama sürecini tamamlamanız gerekir.

Hassas kapsam örnekleri arasında Google Takvim'de depolanan etkinlikleri okuma, Google Kişiler'e yeni bir kişi kaydetme veya YouTube videosunu silme yer alır. Kullanılabilir kapsamlar ve bunların sınıflandırmaları hakkında daha fazla bilgi için uygulamanızın çağırdığı API uç noktalarının referans belgelerine ve API için yayınlanan ilgili yetkilendirme kılavuzlarına bakın.

Bu işlevselliği sağlamak için gereken kullanıcı verilerine en az erişim gerektiren kapsamları istemelisiniz. Örneğin, yalnızca veri okuyan bir uygulama, API ve ilgili uç noktaları için daha dar bir kapsam mevcutken içerik okuma, yazma ve silme erişimi istememelidir. Bir Google API'sinden aldığınız veriler yalnızca API'nin politikalarına uygun olarak ve uygulamanızın işlemlerinde ve gizlilik politikanızda kullanıcılarınıza sunduğunuz şekilde kullanılmalıdır.

Uygulamanız veya yeni bir kapsam gerektiren yeni özellikler için doğrulama işleminin tamamlanması gereken süreyi lansman planınıza dahil etmeyi unutmayın. Hassas kapsam doğrulama sürecinin tamamlanması genellikle 3-5 iş günü sürer. Uygulamanızın, hassas kapsam doğrulama isteğinizin bir alt kümesi olarak marka doğrulamasını tamamlamaya uygun olabileceğini unutmayın.

Hassas kapsamları anlama

Hassas kapsamlar için herhangi bir Google Hesabı erişim izni vermeden önce Google tarafından inceleme yapılması gerekir. Google Workspace kuruluş yöneticileri, kuruluşun açıkça güvenilir olarak işaretlemediği OAuth istemci kimliklerinin erişimini engellemek için hassas kapsamlar için erişimi kısıtlayabilir.

Kapsam kullanımınızı anlama

• Uygulamanızın kullandığı veya kullanmak istediğiniz kapsamları inceleyin. Mevcut kapsam kullanımınızı bulmak için uygulamanızın kaynak kodunda yetkilendirme istekleriyle gönderilen kapsamları inceleyin.
• İstenen her kapsamın, uygulama özelliğinizin amaçlanan işlemleri için gerekli olduğunu ve özelliği sağlamak için gereken en az ayrıcalığı kullandığını belirleyin. Bir Google API'si genellikle şunları içerir: Uç noktaları için ürünün Google Developers sayfasında referans dokümanları. Bu dokümanlar, uç noktayı veya belirli özellikleri çağırmak için gereken kapsamı içerir. Uygulamanızın çağırdığı API uç noktaları için gerekli erişim kapsamları hakkında daha fazla bilgi edinmek istiyorsanız bu uç noktaların referans belgelerini okuyun.
• Bir Google API'sinden aldığınız veriler yalnızca API'nin politikalarına uygun olarak ve uygulamanızın işlemlerinde ve gizlilik politikanızda kullanıcılarınıza sunduğunuz şekilde kullanılmalıdır.
• Her kapsam ve olası sensitive or restricted durumu hakkında daha fazla bilgi edinmek için API belgelerine bakın.
• Uygulamanız tarafından kullanılan tüm kapsamları Cloud Console'nın Data Access page bölümünde beyan edin. Belirttiğiniz kapsamlar, gerekli ek doğrulamaları vurgulamak için hassas veya kısıtlı kategorilerde gruplandırılır.
• Entegrasyonunuz tarafından kullanılan verilerle eşleşen en iyi kapsamı bulun, kullanımını anlayın, test ortamında her şeyin hâlâ çalıştığını yeniden onaylayın ve ardından doğrulama için göndermeye hazırlanın.

Doğrulamaya hazırlanma adımları

Verilere erişim isteğinde bulunmak için Google API'lerini kullanan tüm uygulamaların marka doğrulamasını tamamlamak için aşağıdaki adımları uygulaması gerekir:

1. Uygulamanızın, Doğrulama şartlarıyla ilgili istisnalar bölümündeki kullanım alanlarından herhangi birine girmediğini onaylayın.
2. Uygulamanızın, ilişkili API'lerin veya ürünün markalama koşullarına uygun olduğundan emin olun. Örneğin, Google ile oturum açma kapsamları için markalama kurallarına bakın.
3. Projenizin yetkili alan adlarının sahipliğini Google Search Console'da doğrulayın. Projenizle ilişkili bir Google Hesabı'nı Sahip veya Düzenleyici olarak kullanın. API Console
4. OAuth izin ekranındaki tüm markalama bilgilerinin (ör. uygulama adı, destek e-postası, ana sayfa URI'si, gizlilik politikası URI'si vb.) uygulamanın kimliğini doğru şekilde yansıttığından emin olun.

Uygulama ana sayfası koşulları

Ana sayfanızın aşağıdaki koşulları karşıladığından emin olun:

• Ana sayfanız yalnızca sitenize giriş yapmış kullanıcılar tarafından değil, herkes tarafından erişilebilir olmalıdır.
• Ana sayfanızın, incelenen uygulamayla alaka düzeyi net olmalıdır.
• Uygulamanızın Google Play Store'daki girişine veya Facebook sayfasına yönlendiren bağlantılar geçerli uygulama ana sayfaları olarak kabul edilmez.

Uygulama gizlilik politikası bağlantısı şartları

Uygulamanızın gizlilik politikasının aşağıdaki koşulları karşıladığından emin olun:

• Gizlilik politikası, kullanıcılar tarafından görülebilmeli, uygulamanızın ana sayfasıyla aynı alan adında barındırılmalı ve Google API ConsoleOAuth izin ekranında bağlantısı verilmelidir. Ana sayfada uygulamanın işlevselliğinin açıklaması, gizlilik politikası ve isteğe bağlı hizmet şartları bağlantılarının yer alması gerektiğini unutmayın.
• Gizlilik politikası, uygulamanızın Google kullanıcı verilerine erişme, bunları kullanma, depolama veya paylaşma şeklini açıklamalıdır. Google kullanıcı verilerini kullanımınızı, yayınladığınız gizlilik politikanızda açıklanan uygulamalarla sınırlamanız gerekir.

Uygulamanızı doğrulamaya gönderme

Google Cloud Console Proje, tüm Cloud Console kaynaklarınızı düzenler. Bir proje, proje işlemlerini gerçekleştirme iznine sahip bir dizi ilişkili Google Hesabı, etkinleştirilmiş bir dizi API ve bu API'lerin faturalandırma, kimlik doğrulama ve izleme ayarlarından oluşur. Örneğin, bir proje bir veya daha fazla OAuth istemcisi içerebilir, bu istemciler tarafından kullanılacak API'leri yapılandırabilir ve kullanıcılar uygulamanıza erişim yetkisi vermeden önce gösterilen bir OAuth izin ekranı yapılandırabilir.

OAuth istemcilerinizden herhangi biri üretime hazır değilse bunları doğrulama isteğinde bulunan projeden silmenizi öneririz. Bu işlemi Clients pagebölümünde yapabilirsiniz.

Doğrulama için göndermek üzere aşağıdaki adımları uygulayın:

1. Uygulamanızın Google API'leri Hizmet Şartları'na ve Google API Hizmetleri Kullanıcı Verileri Politikası'na uygun olduğundan emin olun.
2. Projenizin ilişkili hesaplarının sahibi ve düzenleyici rollerini, OAuth kullanıcı rızası ekranınızın kullanıcı desteği e-posta adresini ve geliştirici iletişim bilgilerini Cloud Console'da güncel tutun. Bu sayede ekibinizin doğru üyeleri yeni koşullardan haberdar edilir.
3. Cloud Console OAuth Doğrulama Merkezi'ne gidin.
4. Proje seçici düğmesini tıklayın.

5. Açılan Şuradan seçin iletişim kutusunda projenizi seçin. Projenizi bulamıyorsanız ancak proje kimliğinizi biliyorsanız tarayıcınızda aşağıdaki biçimde bir URL oluşturabilirsiniz:

   https://console.developers.google.com/auth/branding?project=[PROJECT_ID]

   [PROJECT_ID] kısmını, kullanmak istediğiniz proje kimliğiyle değiştirin.

6. Uygulamayı Düzenle düğmesini seçin.
7. OAuth kullanıcı rızası ekranı sayfasında gerekli bilgileri girin ve Kaydet ve devam et düğmesini seçin.
8. Uygulamanızın istediği tüm kapsamları bildirmek için Kapsam ekleme veya kaldırma düğmesini kullanın. Google ile Oturum Açma için gerekli olan ilk kapsam grubu, Hassas olmayan kapsamlar bölümünde önceden doldurulur. Eklenen kapsamlar hassas olmayan kapsamlar olarak sınıflandırılır. sensitive, or restricted.
9. Uygulamanızdaki ilgili özelliklerle ilgili tüm belgeler için en fazla üç bağlantı sağlayın.

10. Sonraki adımlarda uygulamanızla ilgili istenen ek bilgileri sağlayın.

    1. Prepare a detailed justification for each requested sensitive scope, as well as an explanation for why a narrower scope isn't sufficient. For example: "My app will use https://www.googleapis.com/auth/calendar to show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar."

    2. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
11. Sağladığınız uygulama yapılandırması doğrulama gerektiriyorsa uygulamayı doğrulama için gönderebilirsiniz. Zorunlu alanları doldurun ve doğrulama sürecini başlatmak için Gönder'i tıklayın.

Uygulamanızı gönderdikten sonra Google'ın Güven ve Güvenlik ekibi, ihtiyaç duyduğu ek bilgiler veya tamamlamanız gereken adımlar hakkında e-posta yoluyla sizinle iletişime geçer. Ek bilgi istekleri için Geliştirici iletişim bilgileri bölümündeki e-posta adreslerinizi ve OAuth onay ekranınızın destek e-postasını kontrol edin. Ayrıca, yanıtınızı beklerken inceleme sürecinin duraklatılıp duraklatılmadığı da dahil olmak üzere projenizin mevcut inceleme durumunu onaylamak için projenizin OAuth kullanıcı rızası ekranı sayfasını da görüntüleyebilirsiniz.

Doğrulama koşullarıyla ilgili istisnalar

Uygulamanız aşağıdaki bölümlerde açıklanan senaryolardan herhangi birinde kullanılacaksa incelemeye göndermeniz gerekmez.

Kişisel kullanım

Uygulamanızın tek kullanıcısıysanız veya uygulamanız yalnızca birkaç kullanıcı tarafından kullanılıyorsa (bu kullanıcıların hepsini şahsen tanıyorsanız) bu yöntem kullanılabilir. Siz ve sınırlı sayıdaki kullanıcılarınız, doğrulanmamış uygulama ekranında ilerleyip kişisel hesaplarınızın uygulamanıza erişmesine izin vermeyi tercih edebilirsiniz.

Geliştirme, test veya hazırlık katmanlarında kullanılan projeler

Google OAuth 2.0 Politikaları'na uymak için test ve üretim ortamları için farklı projeler kullanmanızı öneririz. Uygulamanızı yalnızca Google Hesabı olan tüm kullanıcıların kullanımına sunmak istiyorsanız doğrulama için göndermenizi öneririz. Bu nedenle, uygulamanız geliştirme, test veya hazırlık aşamasındaysa doğrulama gerekmez.

Uygulamanız geliştirme veya test aşamasındaysa Yayınlanma Durumu'nu varsayılan Test ayarında bırakabilirsiniz. Bu ayar, uygulamanızın hâlâ geliştirme aşamasında olduğu ve yalnızca test kullanıcıları listesine eklediğiniz kullanıcılar tarafından kullanılabildiği anlamına gelir. Uygulamanızın geliştirilmesine veya test edilmesine dahil olan Google Hesapları listesini yönetmeniz gerekir.

Yalnızca hizmete ait veriler

Uygulamanız yalnızca kendi verilerine erişmek için bir hizmet hesabı kullanıyorsa ve herhangi bir kullanıcı verisine (Google Hesabı'na bağlı) erişmiyorsa doğrulama için göndermeniz gerekmez.

Hizmet hesaplarının ne olduğunu öğrenmek için Google Cloud belgelerindeki Hizmet hesapları bölümünü inceleyin. Hizmet hesabı kullanmayla ilgili talimatlar için Sunucudan sunucuya uygulamalar için OAuth 2.0'ı kullanma başlıklı makaleye bakın.

Yalnızca dahili kullanım

Bu, uygulamanın yalnızca Google Workspace veya Cloud Identity kuruluşunuzdaki kullanıcılar tarafından kullanıldığı anlamına gelir. Proje kuruluşa ait olmalı ve OAuth izin ekranı Dahili kullanıcı türü için yapılandırılmalıdır. Bu durumda, uygulamanızın bir kuruluş yöneticisi tarafından onaylanması gerekebilir. Daha fazla bilgi için Google Workspace ile ilgili ek bilgiler başlıklı makaleyi inceleyin.

• Herkese açık ve şirket içi uygulamalar hakkında daha fazla bilgi edinin.
• Uygulamanızı nasıl dahili olarak işaretleyeceğinizi SSS bölümündeki Uygulamamı nasıl yalnızca dahili olarak işaretleyebilirim? başlıklı makaleden öğrenebilirsiniz.

Alan genelinde yükleme

Uygulamanızın yalnızca Google Workspace veya Cloud Identity kuruluşlarının kullanıcılarını hedeflemesini ve her zaman alan genelinde kurulum kullanılmasını planlıyorsanız uygulamanızın doğrulanması gerekmez. Bunun nedeni, alan genelinde yükleme yapıldığında alan yöneticisinin üçüncü taraf ve dahili uygulamalara kullanıcılarınızın verilerine erişim izni vermesidir. Uygulamayı alanlarında kullanmak üzere izin verilenler listesine yalnızca kuruluş yöneticileri ekleyebilir.

Uygulamanızı alan genelinde yükleme haline getirme hakkında bilgi edinmek için SSS bölümüne bakın. Uygulamamda, başka bir Google Workspace alanından kurumsal hesapları olan kullanıcılar var.