OAuth 2.0 নীতি মেনে চলা

প্রোডাকশনের জন্য আপনার অ্যাপ প্রস্তুত করার সময় সবচেয়ে সাধারণ ডেভেলপার সমস্যার সম্মুখীন হলে কীভাবে তা সমাধান করবেন তা এই নির্দেশিকায় উল্লেখ করা হয়েছে।

এক নজরে

আপনার অ্যাপের ব্যবহারকারীদের জন্য ডেভেলপমেন্ট এনভায়রনমেন্টের বাইরে প্রয়োগ করা সমাধান ডিপ্লয় করার জন্য প্রস্তুত হলে, Google-এর OAuth 2.0 নীতি মেনে চলার জন্য আপনাকে অতিরিক্ত পদক্ষেপ নিতে হতে পারে। এই গাইডে, আমরা প���রোডাকশনের জন্য আপনার অ্যাপ প্রস্তুত করার সময় সবচেয়ে সাধারণ ডেভেলপার সমস্যাগুলির সাথে কীভাবে সম্মতি অর্জন করা যায় তার রূপরেখা দিই। এটি আপনাকে সীমিত ত্রুটি সহ সম্ভাব্য সর্বাধিক দর্শকের কাছে পৌঁছাতে সাহায্য করে।

টেস্টিং ও প্রোডাকশনের জন্য আলাদা প্রোজেক্ট ব্যবহার করুন

Google-এর OAuth নীতি অনুযায়ী টেস্টিং ও প্রোডাকশনের জন্য আলাদা প্রোজেক্ট প্রয়োজন। কিছু নীতি ও প্রয়োজনীয়তা শুধুমাত্র প্রোডাকশন অ্যাপের ক্ষেত্রে প্রযোজ্য। আপনাকে আলাদা একটি প্রোজেক্ট তৈরি ও কনফিগার করতে হতে পারে, যাতে OAuth ক্লায়েন্ট অন্তর্ভুক্ত থাকে। এই ক্লায়েন্ট আপনার অ্যাপের প্রোডাকশন ভার্সনের সাথে সম্পর্কিত এবং এটি সব Google অ্যাকাউন্টের জন্য উপলভ্য।

প্রোডাকশনে ব্যবহৃত Google OAuth ক্লায়েন্ট, একই অ্যাপ্লিকেশন পরীক্ষা বা ডিবাগ করে এমন একই ধরনের OAuth ক্লায়েন্টের তুলনায় আরও স্থিতিশীল, অনুমানযোগ্য এবং নিরাপদ ডেটা সংগ্রহ এবং স্টোরেজ পরিবেশ প্রদান করতে সাহায্য করে। আপনার প্রোডাকশন প্রোজেক্ট যাচাইকরণের জন্য জমা দেওয়া যেতে পারে এবং তাই নির্দিষ্ট API স্কোপের জন্য অতিরিক্ত প্রয়োজনীয়তার অধীনে থাকতে পারে, যার মধ্যে থার্ড-পার্টি নিরাপত্তা মূল্যায়ন অন্তর্ভুক্ত থাকতে পারে।

  1. Google এপিআই কনসোল-এ যান। প্রোজেক্ট তৈরি করুন বিকল্পে ক্লিক করুন, নাম লিখুন এবং তৈরি করুন বিকল্পে ক্লিক করুন।
  2. এই প্রোজেক্টে OAuth ক্লায়েন্ট পর্যালোচনা করুন যা আপনার টেস্টিং টিয়ারের সাথে যুক্ত থাকতে পারে। প্রযোজ্য হলে, প্রোডাকশন প্রোজেক্টের মধ্যে প্রোডাকশন ক্লায়েন্টের জন্য একই ধরনের OAuth ক্লায়েন্ট তৈরি করুন।
  3. আপনার ক্লায়েন্ট ব্যবহার করছেন এমন যেকোনও API চালু করুন।
  4. Cloud Console-এর ব্র্যান্ডিং পৃষ্ঠায় নতুন প্রোজেক্টের জন্য আপনার OAuth-এর সম্মতি সংক্রান্ত স্ক্রিন কনফিগারেশন পর্যালোচনা করুন।

প্রোডাকশনে ব্যবহৃত Google OAuth ক্লায়েন্টে টেস্ট এনভায়রনমেন্ট, রিডাইরেক্ট URI বা JavaScript উৎস থাকলে চলবে না যা শুধুমাত্র আপনার বা আপনার ডেভেলপমেন্ট টিমের ��ন্য উপলভ্য। এখানে কিছু উদাহরণ দেওয়া হল:

  • ব্যক্তিগত ডেভেলপারের টেস্ট সার্ভার
  • আপনার অ্যাপের টেস্ট বা প্রি-রিলিজ ভার্সন

প্রোজেক্টের জন্য প্রাসঙ্গিক পরিচিতির তালিকা বজায় রাখা

Google এবং আপনার চালু করা স্বতন্ত্র API-কে, পরিষেবায় পরিবর্তন বা আপনার প্রোজেক্ট ও তার ক্লায়েন্টের জন্য প্রয়োজনীয় নতুন কনফিগারেশন সম্পর্কে আপনার সাথে যোগাযোগ করতে হতে পারে। আপনার প্রোজেক্টের IAM তালিকা পর্যালোচনা করে নিশ্চিত করুন যে আপনার টিমের প্রাসঙ্গিক ব্যক্তিদের কাছে আপনার প্রোজেক্ট কনফিগারেশন এডিট বা দেখার অ্যাক্সেস আছে। আপনার প্রোজেক্টে প্রয়োজনীয় পরিবর্তন সম্পর্কেও এইসব অ্যাকাউন্ট ইমেল পেতে পারে।

ভূমিকাতে এক সেট অনুমতি থাকে যা আপনাকে প্রজেক্ট রিসোর্সে নির্দিষ্ট অ্যাকশন পারফর্ম করতে দেয়। প্রোজেক্ট এডিটরের কাছে স্ট্যাটাস পরিবর্তন করার অনুমতি থাকে, যেমন আপনার প্রোজেক্টের OAuth সম্মতি সংক্রান্ত স্ক্রিনে পরিবর্তন করার ক্ষমতা। প্রোজেক্টের মালিক, যার কাছে সব এডিটর অনুমতি আছে, তিনি প্রোজেক্টের সাথে যুক্ত অ্যাকাউন্ট যোগ করতে বা সরাতে অথবা প্রোজেক্ট মুছে দিতে পারবেন। প্রজেক্টের মালিকরা বিলিং তথ্য সেট করার কারণও উল্লেখ করতে পারেন। প্রজেক্টের মালিকরা এমন একটি প্রজেক্টের জন্য বিলিং তথ্য সেট-আপ করতে পারেন যা পেড API ব্যবহার করে।

প্রোজেক্টের মালিক ও এডিটরদের আপ-টু-ডেট রাখতে হবে। প্রোজেক্ট ও তার রক্ষণাবেক্ষণে যাতে নিরবচ্ছিন্ন অ্যাক্সেস থাকে তা নিশ্চিত করতে, আপনার প্রোজেক্টে একাধিক প্রাসঙ্গিক অ্যাকাউন্ট যোগ করতে পারেন। আপনার প্রোজেক্ট সম্পর্কে বিজ্ঞপ্তি বা আমাদের পরিষেবার আপডেট থাকলে, আমরা সেইসব অ্যাকাউন্টে ইমেল পাঠাই। Google Cloud সংস্থার অ্যাডমিনিস্ট্রেটরদের অবশ্যই নিশ্চিত করতে হবে যে তাদের সংস্থার প্রতিটি প্রোজেক্টের সাথে একটি যোগাযোগযোগ্য পরিচিতি যুক্ত আছে। আপনার প্রোজেক্টের জন্য আমাদের কাছে আপ-টু-ডেট যোগাযোগের তথ্য না থাকলে, আপনি গুরুত্বপূর্ণ মেসেজ মিস করতে পারেন, যার জন্য আপনার অ্যাকশন প্রয়োজন।

আপনার পরিচয় সঠিকভাবে উপস্থাপন করা

অ্যাপের সঠিক নাম এবং ব্যবহারকারীদের দেখানোর জন্য লোগো (ঐচ্ছিক) প্রদান করুন। এই ব্র্যান্ডের তথ্য অবশ্যই আপনার অ্যাপ্লিকেশনের পরিচয় সঠিকভাবে উপস্থাপন করতে হবে। অ্যাপ ব্র্যান্ডিং সংক্রান্ত তথ্য OAuth ব্র্যান্ডিং পৃষ্ঠা থেকে কনফিগার করা হয়।

প্রোডাকশন অ্যাপের ক্ষেত্রে, আপনার OAuth-এর সম্মতি সংক্রান্ত স্ক্রিনে উল্লেখ করা ব্র্যান্ডের তথ্য ব্যবহারকারীদের দেখানোর আগে অবশ্যই যাচাই করতে হবে। আপনার অ্যাপের ব্র্যান্ড যাচাইকরণ সম্পূর্ণ হওয়ার পরে ব্যবহারকারীরা হয়ত আরও বেশি করে আপনার অ্যাপকে অ্যাক্সেস দিতে চাইবেন। অ্যাপ্লিকেশনের প্রাথমিক তথ্য, যার মধ্যে অ্যাপের নাম, হোম পেজ, পরিষেবার শর্তাবলী এবং গোপনীয়তা নীতি অন্তর্ভুক্ত, তা ব্যবহারকারীদের অনুমতি স্ক্রিনে দেখানো হয়, যখন তারা তাদের বিদ্যমান অনুমতি পর্যালোচনা করেন, অথবা Google Workspace অ্যাডমিনিস্ট্রেটরদের দেখানো হয় যারা তাদের প্রতিষ্ঠানের দ্বারা অ্যাপের ব্যবহার পর্যালোচনা করেন।

যেসব অ্যাপ নিজেদের পরিচয় সম্পর্কে মিথ্যা বর্ণনা দেয় বা ব্যবহারকারীদের প্রতারণা করার চেষ্টা করে, Google সেগুলির জন্য Google API পরিষেবা এবং অন্যান্য Google প্রোডাক্ট ও পরিষেবার অ্যাক্সেস তুলে নিতে বা সাসপেন্ড করতে পারে।

শুধুমাত্র আপনার প্রয়োজনীয় স্কোপের জন্য অনুরোধ করুন

আপনার অ্যাপ্লিকেশন ডেভেলপ করার সময়, আপনি হয়ত API-এর ফিচার ও কার্যকারিতা সম্পর্কে আরও জানতে আপনার অ্যাপ্লিকেশনের মধ্যে একটি প্রুফ-অফ-কনসেপ্ট ত��রি করতে API-এর প্রদান করা একটি উদাহরণ স্কোপ ব্যবহার করেছেন। এইসব উদাহরণ স্কোপ প্রায়ই আপনার অ্যাপের চূড়ান্ত ইমপ্লিমেন্টেশনের জন্য প্রয়োজনীয় তথ্যের চেয়ে বেশি তথ্য চায়, কারণ তারা নির্দিষ্ট API-এর জন্য সব সম্ভাব্য অ্যাকশনের সম্পূর্ণ কভারেজ প্রদান করে। যেমন, উদাহরণ স্কোপে রিড, রাইট ও মুছে দেওয়ার অনুমতি চাওয়া হতে পারে, যদিও আপনার অ্যাপ্লিকেশনের জন্য শুধু রিড অনুমতি প্রয়োজন। আপনার অ্যাপ্লিকেশন কার্যকর করার জন্য প্রয়োজনীয় গুরুত্বপূর্ণ তথ্যের মধ্যে সীমিত থাকে এমন প্রাসঙ্গিক অনুমতির জন্য অনুরোধ করুন।

আপনার অ্যাপ কল করে এমন API এন্ডপয়েন্টের জন্য রেফারেন্স ডকুমেন্টেশন পর্যালোচনা করুন এবং আপনার অ্যাপের প্রয়োজনীয় প্রাসঙ্গিক ডেটা অ্যাক্সেস করার জন্য তাদের প্রয়োজনীয় স্কোপগুলি নোট করুন। API-এর মাধ্যমে অফার করা যেকোনও অথরাইজেশন নির্দেশিকা পর্যালোচনা করুন এবং সবচেয়ে সাধারণ ব্যবহার অন্তর্ভুক্ত করার জন্য আরও বিস্তারিতভাবে সেগুলির স্কোপ বর্ণনা করুন। আপনার অ্যাপ্লিকেশনের সংশ্লিষ্ট ফিচারগুলি চালানোর জন্য প্রয়োজনীয় সবচেয়ে কম ডেটা অ্যাক্সেস বেছে নিন।

এই প্রয়োজনীয়তা সম্পর্কে আরও জানতে, OAuth 2.0 নীতির শুধুমাত্র আপনার প্রয়োজনীয় স্কোপের জন্য অনুরোধ করুন বিভাগ এবং Google API পরিষেবা ব্যবহারকারীর ডেটা নীতির প্রাসঙ্গিক অনুমতির জন্য অনুরোধ করুন বিভাগ পড়ুন।

যাচাইকরণের জন্য সংবেদনশীল নয় বা সীমাবদ্ধ নয় এমন স্কোপ ব্যবহার করে এমন প্রোডাকশন অ্যাপ জমা দিন

ব্যবহারকারীকে যাচাই করার সময় 'Google-এর মাধ্যমে সাইন-ইন করুন' ফিচার সংবেদনশীল ও সীমাবদ্ধ স্কোপের জন্য অনুরোধ করে না। আপনার অ্যাপ্লিকেশন যদি শুধুমাত্র যাচাইকরণের জন্য 'Google-এর মাধ্যমে সাইন-ইন করুন' ফিচার ব্যবহার করে, তাহলে আপনাকে ব্র্যান্ড যাচাইকরণের জন্য অ্যাপ্লিকেশন জমা দিতে হবে। আপনি Google Cloud Console-এ ব্র্যান্ডিং পৃষ্ঠা থেকে যাচাইকরণের জন্য জমা দিতে পারবেন। সম্মতি স্ক্রিনে অ্যাপের ব্র্যান্ডিং এলিমেন্ট—নাম, লোগো, গোপনীয়তা নীতি, পরিষেবার শর্তাবলী এবং স্কোপ সহ—দেখানোর জন্য এই যাচাইকরণ প্রয়োজন।

সাইন-ইন বোতাম দেখানোর জন্য আপনার অ্যাপকে অফিসিয়াল ব্র্যান্ডিং নির্দেশিকা মেনে চলার জন্য আমরা বিশেষভাবে সাজেস্ট করি।

শুধুমাত্র আপনার মালিকানাধীন ডোমেন ব্যবহার করুন

Google-এর OAuth সম্মতি স্ক্রিন যাচাইকরণ প্রক্রিয়ার জন্য আপনার প্রোজেক্টের হোম পেজ, গোপনীয়তা নীতি, পরিষেবার শর্তাবলী, অনুমোদিত রিডাইরেক্ট URI বা অনুমোদিত জাভাস্ক্রিপ্ট অরিজিনের সাথে যুক্ত সমস্ত ডোমেন যাচাই করতে হবে। ��পনার ��্যাপ���র ��্��বহার করা ডোমেনের তালিকা পর্যালোচনা করুন, যা OAuth সম্মতি স্ক্রিন এডিটরের অনুমোদিত ডোমেন বিভাগে সংক্ষিপ্ত আকারে দেওয়া আছে এবং এমন কোনও ডোমেন শনাক্ত করুন যার মালিকানা আপনার কাছে নেই এবং তাই যাচাই করতে পারবেন না। আপনার প্রোজেক্টের অনুমোদিত ডোমেন-এর মালিকানা যাচাই করতে, Google Search Console ব্যবহার করুন। মালিক বা এডিটর হিসেবে আপনার API Console প্রোজেক্টের সাথে যুক্ত Google অ্যাকাউন্ট ব্যবহার করুন।

আপনার প্রোজেক্ট যদি সাধারণ, শেয়ার করা ডোমেন সহ কোনও পরিষেবা প্রদানকারী ব্যবহার করে, তাহলে আমরা সাজেস্ট করি যে আপনি এমন কনফিগারেশন চালু করুন যা আপনার নিজস্ব ডোমেন ব্যবহার করার অনুমতি দেবে। কিছু পরিষেবা প্রদানকারী আপনার আগে থেকেই মালিকানাধীন ডোমেনের সাবডোমেনে তাদের পরিষেবা ম্যাপ করার সুবিধা অফার করে।

প্রোডাকশন অ্যাপের জন্য হোম পেজ হোস্ট করুন

OAuth 2.0 ব্যবহার করে এমন প্রতিটি প্রোডাকশন অ্যাপের একটি সর্বজনীনভাবে অ্যাক্সেসযোগ্য হোম পেজ থাকতে হবে। আপনার অ্যাপের সম্ভাব্য ব্যবহারকারীরা অ্যাপের অফার করা ফিচার ও কার্যকারিতা সম্পর্কে আরও জানতে হোম পেজে যেতে পারেন। আগে থেকে থাকা ব্যবহারকারীরা তাদের আগে থেকে থাকা অনুদানের তালিকা পর্যালোচনা করতে পারেন এবং আপনার অফার ব্যবহার করা চালিয়ে যাওয়ার রিমাইন্ডার হিসেবে আপনার অ্যাপের হোম পেজে যেতে পারেন।

আপনার অ্যাপ্লিকেশনের হোম পেজে অবশ্যই অ্যাপের কার্যকারিতার বিবরণ, সেইসাথে গোপনীয়তা নীতি এবং পরিষেবার ঐচ্ছিক শর্তাবলীর লিঙ্ক অন্তর্ভুক্ত থাকতে হবে। আপনার মালিকানাধীন যাচাই করা ডোমেনে হোম পেজ থাকতে হবে।

নিরাপদ রিডাইরেক্ট URI এবং জাভাস্ক্রিপ্ট অরিজিন ব্যবহার করুন

ওয়েব অ্যাপের জন্য OAuth 2.0 ক্লায়েন্ট-কে অবশ্যই HTTPS রিডাইরেক্ট URI এবং জাভাস্ক্রিপ্ট অরিজিন ব্যবহার করে তাদের ডেটা সুরক্ষিত করতে হবে, সাধারণ HTTP নয়। Google এমন OAuth অনুরোধ বাত��ল করতে পারে যা কোনও নিরাপদ প্রসঙ্গ থেকে শুরু হয় না বা সেখানে শেষ হয় না।

কোন কোন থার্ড-পার্টি অ্যাপ্লিকেশন ও স্ক্রিপ্টের টোকেন ও অন্যান্য ব্যবহারকারীর ক্রেডেনশিয়ালে অ্যাক্সেস থাকতে পারে তা বিবেচনা করুন, যা আপনার পৃষ্ঠায় ফিরে আসে। রিডাইরেক্ট URI লোকেশনের মাধ্যমে সংবেদনশীল ডেটায় অ্যাক্সেস সীমিত করে যা টোকেন ডেটা যাচাই ও স্টোর করার মধ্যে সীমাবদ্ধ।

পরবর্তী ধাপ

আপনার অ্যাপ এই পৃষ্ঠায় উল্লেখ করা OAuth 2.0 নীতি মেনে চলছে কিনা তা নিশ্চিত করার পরে, যাচাইকরণ প্রক্রিয়া সম্পর্কে আরও জানতে ব্র্যান্ড যাচাইকরণের জন্য জমা দিন বিকল্প দেখুন।