GoogleのOAuthインクリメンタル認可の改善
2021年10月11日、Googleはその製品マネージャー、ヴィクラン・ラナ氏とグループ製品マネージャー、バディ・アザド氏からの発表を通じて、OAuthの認可に関する新たな改善を発表しました。Googleは、アカウントを信じて預けているユーザーのデータを保護する責任を果たすとともに、開発者コミュニティがユーザーに素晴らしい体験を提供できるように支援したいと考えています。この相乗効果により、ユーザーは自身のデータの共有方法を管理できます。
ユーザーに与える三つの重要な管理手段
- ユーザーが誰にアカウントデータへのアクセスを許可するかを決める権利の提供
- ユーザーが選択したときに、安全かつ簡単にアプリとデータを共有できる環境の提供
- ユーザーがアプリに共有する具体的なデータを明確にすること
今回の改善内容
今回、発表されたのはOAuthの同意体験の改善であり、ユーザーがアプリとデータを共有する方法を簡素化しました。加えて、インクリメンタル認可を利用するアプリのための同意転換の向上も目指しています。この新しい体験では、ユーザーは非常に簡単にリクエストを共有できるようになりました。
改善の流れ
Googleは過去の改善をしっかりと行ってきました。以下にそのいくつかの具体的な改善点をまとめます。
- 2019年中頃: 同意画面を大幅に改良し、ユーザーが特定のアプリに共有するアカウントデータをより細かく管理できるようにしました。この新しいフローでは、アプリが複数のGoogleリソースへのアクセスをリクエストする際、ユーザーは各スコープ毎に異なる画面を確認する必要がありました。
- 2021年7月: 複数の許可リクエストを一つの画面に統合しましたが、ユーザーには依然としてデータ共有の細かな管理が可能です。
- 今回の改良: インクリメンタル認可に基づくリクエストの簡素化です。
開発者は何をするべきか？
開発者はアプリに変更を加える必要はありません。しかし、インクリメンタル認可を使用し、アプリが必要な時に一つのリソースのみをリクエストすることをお勧めします。これにより、アカウントデータのリクエストがユーザーにとってより関連性を持ち、同意の転換率が向上すると考えられています。
詳しくは、Googleの開発者ガイドに記載されているインクリメンタル認可に関する情報を確認してください。
複数リソースを同時に必要とするアプリについて
もしアプリが同時に複数のリソースを必要とする場合、OAuth 2.0ポリシーに従い、アプリが部分的な同意を適切に処理できる状態を確保し、不足部分に応じて機能を適切に制限することが重要です。
関連コンテンツ
- Google OAuthおよびAPIによる、よりグランularなGoogleアカウントの権限管理
- プロジェクト「ストローブ」: データ保護、サードパーティAPIの改善、消費者向けGoogle+のサンセットについて
Googleは引き続き、ユーザーのフィードバックを収集し、Google Identity Servicesやアカウントデータの共有に関する全体的なユーザー体験を改善していく意向です。Googleのサービスを通じて、より安全かつ利便性の高いデータ管理が可能になると期待されます。
