Google Developers Japan: OAuth 2.0 のトークン取り消しによるアカウントセキュリティの強化

OAuth 2.0 のトークン取り消しによるアカウントセキュリティの強化

2016年10月4日火曜日

この記事は Michael Winser、 Google Apps プロダクトリード、Wesley Chun、Google Apps デベロッパーアドボケートによる Google Apps Developer Blog の記事 "Google Apps Developer Blog: Increased account security via OAuth 2.0 token revocation" を元に翻訳・加筆したものです。詳しくは元記事をご覧ください。先週（*原文公開当時）2016 年 10 月 5 日この日以降にユーザーはこの日に変更が行われることを意識する必要はなくアプリケーションは動作を続けますお知らせ決定取り消されたトークンとはアカウント情報影響を受ける API とスコープメールスコープApps スクリプト除外Google Apps Marketplace取り消されたトークンの判定方法{ "error_description": "Token has been revoked.", "error": "invalid_grant" }
アプリケーションでの取り消されたトークンの扱い方

取り消されたトークンを検知する可能性がある API 呼び出しやトークンのリフレッシュ処理の周辺にエラー処理コードを追加します。

取り消されたトークンを検知した際は、ユーザーがアプリケーションを再認証するまで、Google API アクセスを利用するすべてのアプリケーション機能を無効化します。たとえば、影響を受ける可能性がある Google API とデータを同期するバックグラウンドジョブの実行を停止します。

アクセスが取り消されたユーザーに通知し、リソースへのアクセスを再認証してもらうよう要求します。

アプリが直接ユーザーとインタラクションする場合は、ユーザーに再認証を要求する必要があります（ユーザーに電子メールを送信、次回アプリケーションを開いた際にアラートを表示）。
ただし、アプリがユーザーから独立して実行されている場合、たとえば Gmail API を利用するバックグラウンドアプリの場合は、電子メールやその他の仕組みを利用してユーザーに通知する必要があります。
再認証のアクセス用に効率的な UI を提供し、ユーザーがアプリケーションで元の設定を探し回ることがないようにします。
トークンが取り消されると、どのように取り消されたのかにはよらず、同じエラーメッセージになります。パスワード変更によってトークンが取り消されたことを前提としたメッセージにはしないでください。

段階的に認証すべてのそのような今回の変更のタイムライン2016 年 10 月 5 日メールスコープヘルプセンターのよくある質問の記事Eiji Kitamura - Developer Relations Team

0 件のコメント :

コメントを投稿

OAuth 2.0 のトークン取り消しによるアカウントセキュリティの強化

0 件のコメント :

ラベル

ブログアーカイブ

Feed

Google Japan

Products

Developers

OAuth 2.0 のトークン取り消しによるアカウント セキュリティの強化

0 件のコメント :

ラベル

ブログ アーカイブ

Feed

Google Japan

Products

Developers

OAuth 2.0 のトークン取り消しによるアカウントセキュリティの強化

ブログアーカイブ