Verificación de alcance sensible

Si tu app solicita permiso para usar las APIs de Google para acceder a las contraseñas datos, es posible que tengas para completar un proceso de verificación antes de publicar tu app tiempo.

La posibilidad de que este requisito se aplique a tu app depende principalmente de dos factores:

1. El tipo de datos de usuario a los que accedes (información pública de perfil, entradas de calendario, archivos de Drive, algunos datos de salud y actividad física, etcétera
2. El grado de acceso que necesitas: solo lectura, lectura y escritura, etcétera.

Cuando usas OAuth 2.0 para obtener permiso de una Cuenta de Google para acceder a sus datos, usas cadenas llamadas alcances para especificar el tipo de datos a los que deseas acceder en su nombre. Si los permisos de las solicitudes de apps sensible o restringido, es probable que debas completar el proceso de verificación, a menos que el uso de la aplicación califica para una excepción.

Algunos ejemplos de este tipo incluyen la lectura de eventos almacenados en el Calendario de Google, el almacenamiento de una nuevo contacto en Contactos de Google o borrar un video de YouTube. Para obtener más información alcances disponibles y sus clasificaciones, consulta la documentación de referencia de la API a los que llama tu app y cualquier guía de autorización relacionada publicada para la API.

Debes solicitar alcances que requieran el acceso mínimo a los datos del usuario necesario para proporcionar esa funcionalidad Por ejemplo: Una aplicación que solo lee datos no debe solicitar acceso para leer, escribir ni borrar contenido cuando una aplicación el alcance limitado está disponible para la API y sus extremos relacionados. Los datos que recibes de un La API de Google solo debe utilizarse conforme a las políticas de la API y de la forma en que representar a los usuarios en las acciones de su aplicación y en su política de privacidad.

Recuerda tener en cuenta el tiempo necesario para completar la verificación del plan de lanzamiento de tu app o cualquier función nueva que requiera un nuevo alcance. El proceso de verificación de alcance sensible normalmente demora entre 3 y 5 días hábiles en completarse. Ten en cuenta que tu app podría ser apta para completarse marca verificación como un subconjunto de tu solicitud de verificación de alcance sensible.

Comprende los permisos sensibles

Google debe revisar los permisos sensibles antes de que una Cuenta de Google pueda otorgar acceso. Google Es posible que los administradores de la organización restringir el acceso a permisos sensibles para impedir el acceso mediante IDs de cliente de OAuth que la organización no indica explícitamente marcar como de confianza.

Comprende el uso del alcance

• Revisa los alcances que usa tu app o que quieres usar. Para encontrar el uso de tu permiso existente, examina el código fuente de tu app en busca de permisos enviados con solicitudes de autorización.
• Determina que cada alcance solicitado es necesario para las acciones previstas de la función de tu app. y use el privilegio mínimo necesario para ofrecer la función. Por lo general, una API de Google tiene documentación de referencia en la página de Google Developer del producto para sus extremos que incluye el alcance necesario para llamar al extremo o a las propiedades específicas dentro de él. Para obtener más información sobre los permisos de acceso necesarios para los extremos de la API a los que llama tu app, lee la documentación de referencia de esos extremos.
• Los datos que recibes de una API de Google solo deben usarse de conformidad con las políticas de la API y de la forma en que los representas a los usuarios en las acciones de tu app y en tu política de privacidad.
• Consulta la documentación de la API para obtener más información sobre cada alcance, incluido su potencial sensitive or restricted .
• Declara todos los alcances que usa tu app en las API Console. Pantalla de consentimiento de OAuth la página de permisos de configuración. Los permisos que especifiques se agruparán en sensibles o restringidos categorías para destacar cualquier verificación adicional que se requiera.
• Encuentra el mejor alcance que coincida con los datos que usa tu integración, comprende su uso vuelve a confirmar que todo siga funcionando en un entorno de pruebas y, luego, prepárate para enviar verificación.

Pasos para prepararse para la verificación

Todas las apps que usan las APIs de Google para solicitar acceso a los datos deben realizar los siguientes pasos: Completa la verificación de marca:

1. Confirma que tu app no se incluye en ninguno de los casos de uso de la Excepciones a los requisitos de verificación.
2. Asegúrate de que tu app cumpla con los requisitos de desarrollo de la marca de las APIs asociadas. producto. Por ejemplo, consulta los lineamientos de desarrollo de la marca para los alcances del Acceso con Google.
3. Verifica la propiedad de la propiedad de tu proyecto dominios autorizados Google Search Console. Usa una Cuenta de Google asociada con tu proyecto API Console como propietario o editor.
4. Asegúrate de que toda la información de desarrollo de la marca en la pantalla de consentimiento de OAuth, como el nombre de la app, la compatibilidad el correo electrónico, el URI de la página principal, el URI de la política de privacidad, etc., representan con precisión la identidad de la app.

Requisitos de la página principal de la aplicación

Asegúrate de que tu página principal cumpla con los siguientes requisitos:

• La página principal debe ser de acceso público, y no solo las personas que accedieron a su sitio deben poder acceder a ella. usuarios.
• La relevancia de la página principal con respecto a la app que está en proceso de revisión debe ser clara.
• No se consideran los vínculos a la ficha de tu app en Google Play Store ni su página de Facebook páginas de inicio válidas de la aplicación.

Requisitos del vínculo a la Política de Privacidad de la aplicación

Asegúrate de que la política de privacidad de tu app cumpla con los siguientes requisitos:

• La política de privacidad debe estar visible para los usuarios y estar alojada en el mismo dominio que tu página principal de la aplicación y se incluye un vínculo a ella en la pantalla de consentimiento de OAuth de la Google API ConsoleTen en cuenta que la página principal debe incluir descripción de su funcionalidad, así como los vínculos a la política de privacidad y condiciones del servicio opcionales.
• La política de privacidad debe revelar la manera en que tu aplicación accede, usa, almacena o comparte datos de los usuarios de Google. Debes limitar tu uso de los datos del usuario de Google a las prácticas que se publicaron de Google.

Cómo enviar tu app para verificarla

Un Google API Console proyecto organiza todos tus API Console . Un proyecto consta de un conjunto Cuentas de Google con permiso para realizar operaciones del proyecto, un conjunto de APIs habilitadas y configuración de facturación, autenticación y supervisión para esas APIs. Por ejemplo, un proyecto puede contener uno o más clientes de OAuth, configurar las APIs para que las usen esos clientes y configurar una Pantalla de consentimiento de OAuth que se muestra a los usuarios antes de que autoricen el acceso a tu aplicación.

Si alguno de tus clientes de OAuth no está listo para producción, te sugerimos que lo borres de el proyecto que solicita la verificación. Puedes hacerlo en la Google API Console

Para enviar el contenido para su verificación, sigue estos pasos:

1. Asegúrate de que tu app cumpla con las Condiciones del Servicio de las APIs de Google y la Política de Datos del Usuario de los Servicios de las APIs de Google.
2. Mantén actualizados los roles de propietario y editor de las cuentas asociadas de tu proyecto, así como el correo electrónico de asistencia al usuario y la información de contacto del desarrollador de la pantalla de consentimiento de OAuth en tu API Console. Esto garantiza que los miembros correctos de tu equipo de seguridad reciben notificaciones de nuevos requisitos.
3. Ve a la API Console OAuth Consent Screen page.
4. Haz clic en el botón del selector de proyectos.

5. En el diálogo Select from que aparece, selecciona tu proyecto. Si no encuentras tu pero conoces el ID del proyecto, puedes crear una URL en el navegador en la siguiente formato:

   https://console.developers.google.com/apis/credentials/consent?project=[PROJECT_ID]

   Reemplaza [PROJECT_ID] por el ID del proyecto que deseas usar.

6. Selecciona el botón Editar aplicación.
7. Ingresa la información necesaria en la página de la pantalla de consentimiento de OAuth y, luego, selecciona Guardar. and continue.
8. Usa el botón Add or remove scope para declarar todos los alcances que solicita tu app. Los el conjunto inicial de alcances necesarios para el Acceso con Google se precompletan en la Sección Permisos no sensibles. Los alcances agregados se clasifican como no sensibles, sensitive, or restricted
9. Proporciona hasta tres vínculos a cualquier documentación relevante para las funciones relacionadas de tu aplicación.

10. Proporciona toda la información adicional que se solicite sobre tu app en las próximas actualizaciones pasos.

    1. Prepare a detailed justification for each requested sensitive scope, as well as an explanation for why a narrower scope isn't sufficient. For example: "My app will use https://www.googleapis.com/auth/calendar to show a user's Google calendar data on the scheduling screen of my app. This lets users manage their schedules through my app and sync the changes with their Google calendar."

    2. Prepare a video that fully demonstrates how a user initiates and grants access to the requested scopes and shows, in detail, the usage of the granted sensitive and restricted scopes in the app. Upload the video to YouTube Studio and set its Visibility as Unlisted. You need to provide a link to the demonstration video in the YouTube link field.

       1. Show the OAuth grant process that users will experience, in English. This includes the consent flow and, if you use Google Sign-In, the sign-in flow.
       2. Show that the OAuth consent screen correctly displays the App Name.
       3. Show that the browser address bar of the OAuth consent screen correctly includes your app's OAuth client ID.
       4. To show how the data will be used, demonstrate the functionality that's enabled by each sensitive scope that you request.
11. Si la configuración de la app que proporcionas requiere verificación, puedes enviarla la app para verificarla. Completa los campos obligatorios y haz clic en Enviar para iniciar proceso de verificación de identidad.

Después de que envíes tu app, el equipo de Confianza y Seguridad de Google te enviará un correo electrónico con la información adicional que necesite o los pasos que debes completar. Verifica tus direcciones de correo electrónico en la En la sección Información de contacto del desarrollador y el correo electrónico de asistencia de tu consentimiento de OAuth pantalla de solicitudes de información adicional. También puedes ver el consentimiento de OAuth de tu proyecto página de pantalla para confirmar el estado de revisión actual de tu proyecto, incluido si el proceso de revisión se pausará mientras esperamos tu respuesta.

Excepciones a los requisitos de verificación

Si tu app se usará en cualquiera de las situaciones descritas en las siguientes secciones, puedes no necesitan enviarlo para su revisión.

Uso personal

Un caso de uso es si eres el único usuario de la app o si la usan pocos usuarios de las cuales todos sean conocidos personalmente. Es posible que tú y tu cantidad limitada de usuarios se sientan cómodos con el avance por el app sin verificar pantalla y otorgar a tus cuentas personales acceso a tu app.

Proyectos utilizados en desarrollo, pruebas o etapa de pruebas niveles

Para cumplir con las políticas de OAuth 2.0 de Google, te recomendamos que tengas diferentes proyectos para los entornos de pruebas y producción. Te recomendamos que solo envíes la app para verificarla. si quieres que tu app esté disponible para cualquier usuario con una Cuenta de Google. Por lo tanto, si tu app está en las fases de desarrollo, prueba o etapa de pruebas, no se requiere la verificación.

Si tu app está en las fases de desarrollo o pruebas, puedes dejar el Estado de publicación en la configuración predeterminada de Pruebas. Este parámetro de configuración significa que tu app aún está en desarrollo y solo está disponibles para los usuarios que agregues a la lista de usuarios de prueba. Debes administrar la lista de Cuentas de Google que participen en el desarrollo o las pruebas de tu app.

Solo datos del servicio

Si tu app usa una cuenta de servicio para acceder solo a sus propios datos y no accede a ningún usuario (vinculados a una Cuenta de Google), no será necesario que los envíes para la verificación.

Para comprender qué son las cuentas de servicio, consulta Cuentas de servicio en en la documentación de Google Cloud. Para obtener instrucciones sobre cómo usar una cuenta de servicio, consulta Uso de OAuth 2.0 de servidor a servidor aplicaciones.

Solo para uso interno

Esto significa que solo los usuarios de tu cuenta de Google Workspace o Cloud Identity usarán la app. organización. El proyecto debe ser propiedad de la organización y su pantalla de consentimiento de OAuth se debe configurar para un Usuario interno tipo de contenido. En este caso, es posible que tu app necesite la aprobación de un administrador de la organización. Para más información, consulta Información adicional consideraciones para Google Workspace.

• Obtén más información sobre públicos y aplicaciones internas.
• Obtén información para marcar tu app como interna en las Preguntas frecuentes ¿Cómo puedo marcar mi app como solo para uso interno?

Instalación en todo el dominio

Si planeas que la app se segmente solo para los usuarios de una cuenta de Google Workspace o Cloud Identity, haz lo siguiente: organización y usar siempre en todo el dominio instalación, tu app no requerirá la verificación de apps. Esto se debe a que una configuración de dominio permite al administrador de dominio otorgar acceso a las aplicaciones internas y de terceros tus usuarios de datos no estructurados. Los administradores de la organización son las únicas cuentas que pueden agregar la app a una lista de entidades permitidas para usarla en sus dominios.

Consulta las Preguntas frecuentes para obtener información sobre cómo instalar tu app para todo el dominio Mi aplicación tiene usuarios con empresariales de otro dominio de Google Workspace.