Google Developers Japan: OAuth 2.0 のトークン取り消しによるアカウントセキュリティの強化

Local blog for Japanese speaking developers

OAuth 2.0 のトークン取り消しによるアカウントセキュリティの強化

2016年10月4日火曜日

この記事は Michael Winser、 Google Apps プロダクトリード、Wesley Chun、Google Apps デベロッパーアドボケートによる Google Apps Developer Blog の記事 "Google Apps Developer Blog: Increased account security via OAuth 2.0 token revocation" を元に翻訳・加筆したものです。詳しくは元記事をご覧ください。先週（*原文公開当時）2016 年 10 月 5 日この日以降にユーザーはこの日に変更が行われることを意識する必要はなくアプリケーションは動作を続けますお知らせ決定取り消されたトークンとはアカウント情報影響を受ける API とスコープメールスコープApps スクリプト除外Google Apps Marketplace取り消されたトークンの判定方法{ "error_description": "Token has been revoked.", "error": "invalid_grant" }
アプリケーションでの取り消されたトークンの扱い方

取り消されたトークンを検知する可能性がある API 呼び出しやトークンのリフレッシュ処理の周辺にエラー処理コードを追加します。

取り消されたトークンを検知した際は、ユーザーがアプリケーションを再認証するまで、Google API アクセスを利用するすべてのアプリケーション機能を無効化します。たとえば、影響を受ける可能性がある Google API とデータを同期するバックグラウンドジョブの実行を停止します。

アクセスが取り消されたユーザーに通知し、リソースへのアクセスを再認証してもらうよう要求します。

アプリが直接ユーザーとインタラクションする場合は、ユーザーに再認証を要求する必要があります（ユーザーに電子メールを送信、次回アプリケーションを開いた際にアラートを表示）。
ただし、アプリがユーザーから独立して実行されている場合、たとえば Gmail API を利用するバックグラウンドアプリの場合は、電子メールやその他の仕組みを利用してユーザーに通知する必要があります。
再認証のアクセス用に効率的な UI を提供し、ユーザーがアプリケーションで元の設定を探し回ることがないようにします。
トークンが取り消されると、どのように取り消されたのかにはよらず、同じエラーメッセージになります。パスワード変更によってトークンが取り消されたことを前提としたメッセージにはしないでください。

段階的に認証すべてのそのような今回の変更のタイムライン2016 年 10 月 5 日メールスコープヘルプセンターのよくある質問の記事Eiji Kitamura - Developer Relations Team

ラベル

ブログアーカイブ

2020
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2019
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2018
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2017
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2016
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2015
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2

2014
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2013
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2012
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2011
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2010
- 12
- 11

Feed

"プロダクトに関するご意見はプロダクトフォーラムにお願いします"

Google
Privacy
Terms