SDK-követelmények

Az alkalmazásfejlesztők gyakran harmadik félhez tartozó kódot (például egy SDK-t) használnak alkalmazásaik alapvető funkcióinak és szolgáltatásainak integrálásához. Amikor egy SDK-t integrálsz az alkalmazásodba, figyelned kell arra, hogy meg tudd őrizni felhasználóid biztonságát, és elkerüld alkalmazásod sebezhetőségét. Ebben a szakaszban bemutatunk néhány SDK-kkal kapcsolatos adatvédelmi és biztonsági követelményt, amelyek segítségével a fejlesztők biztonságosan integrálhatnak SDK-kat alkalmazásaikba.

Ha alkalmazásod SDK-t tartalmaz, a te felelősséged annak biztosítása, hogy a harmadik fél kódja és gyakorlatai miatt az alkalmazásod ne sértse meg a Google Play Fejlesztői Programszabályzatát. Fontos tisztában lenni azzal, hogy az alkalmazásaidban található SDK-k miként kezelik a felhasználói adatokat, továbbá tisztában kell lenned azzal is, hogy ezek az SDK-k milyen engedélyeket használnak, milyen adatokat gyűjtenek, és miért gyűjtik ezeket az adatokat. Ne feledd, az SDK-k adatgyűjtési és -kezelési gyakorlatának meg kell felelnie alkalmazásod irányelv szerinti adathasználati gyakorlatának.

Annak érdekében, hogy az általad használt SDK ne sértse meg az irányelvi követelményeket, részletesen olvasd el és értelmezd a következő irányelveket, és vedd figyelembe az SDK-kra vonatkozó meglévő követelményeiket:

Felhasználói adatokra vonatkozó irányelvek

A fejlesztőnek a felhasználói adatokat (például a felhasználóktól vagy a felhasználókról gyűjtött adatokat, beleértve az eszközadatokat is) átlátható módon kell kezelnie. Ez azt jelenti, hogy nyilvánosságra kell hozni a felhasználói adatok hozzáférését, gyűjtését, felhasználását, kezelését és megosztását az alkalmazásból, és az adatok felhasználását a nyilvánosságra hozott irányelveknek megfelelő célokra kell korlátozni.

Ha harmadik féltől származó kódot (például SDK-t) szerepeltetsz az alkalmazásodban, akkor biztosítanod kell, hogy az alkalmazásodban használt, harmadik fél által biztosított kód, valamint az alkalmazásodból származó adatok harmadik fél általi feldolgozására irányuló gyakorlatok megfeleljenek a Google Play Fejlesztői Programszabályzatnak, amely a felhasználásra és a közzétételre vonatkozó előírásokat is tartalmaz. Biztosítanod kell például, hogy az SDK-szolgáltatók ne adjanak el személyes és érzékeny felhasználói adatokat az alkalmazásból. Ez a követelmény attól függetlenül érvényes, hogy a felhasználói adatok továbbítása a szerverre történő elküldés után vagy harmadik fél kódjának az alkalmazásba történő beágyazásával történik.

Személyes és bizalmas felhasználói adatok Az alkalmazásban megszerzett személyes és bizalmas felhasználói adatokhoz való hozzáférést, valamint ezek gyűjtését, felhasználását és megosztását az alkalmazásra és a szolgáltatás funkcióira és az irányelvekben feltüntetett célokra kell korlátozni a felhasználó által észszerűen elvárható módon: A személyes és bizalmas felhasználói adatokhoz hozzáférést kibővítő alkalmazásoknak be kell tartaniuk a Google Play hirdetési irányelveit. Minden személyes és bizalmas felhasználói adatot biztonságosan kell kezelni, amibe beletartozik az is, hogy az adattovábbítás valamilyen modern titkosítással (például HTTPS-protokollal) történjen. Az Android-engedélyek által korlátozott adatokhoz való hozzáférés előtt futásidőben küldhető engedélykérést kell alkalmazni (ha lehetséges). Személyes és bizalmas felhasználói adatok értékesítése Ne értékesíts személyes és bizalmas felhasználói adatokat. Az „értékesítés” személyes és érzékeny felhasználói adatok cseréjét vagy átadását jelenti harmadik félnek pénzbeli ellenérték fejében. A személyes és érzékeny felhasználói adatok felhasználó által kezdeményezett továbbítása (például amikor a felhasználó az alkalmazás egy funkcióját használja arra, hogy fájlt továbbítson egy harmadik félnek, vagy amikor a felhasználó úgy dönt, hogy egy kifejezetten kutatási célú alkalmazást használ) nem minősül értékesítésnek. A jól látható közlésre és a hozzájárulásra vonatkozó követelmények Azokban az esetekben, amikor a személyes és érzékeny felhasználói adatok hozzáférése, gyűjtése, felhasználása vagy megosztása az alkalmazásban nem felel meg az adott termék vagy funkció felhasználója észszerű elvárásainak, meg kell felelned a felhasználói adatokra vonatkozó irányelvek jól látható közlésre és hozzájárulásra vonatkozó követelményeinek. Ha alkalmazásodban olyan, harmadik féltől származó kód (például SDK) szerepel, amelynek célja alapértelmezés szerint a személyes és érzékeny felhasználói adatok gyűjtése, akkor a Google Playtől érkezett kéréstől számított 2 héten belül (vagy ha a Play kérésében ennél hosszabb határidő szerepel, akkor az adott időn belül) megfelelő bizonyítékot kell benyújtanod arra vonatkozóan, hogy az alkalmazásod megfelel az irányelvben szereplő, a jól látható közlésre és a hozzájárulásra vonatkozó követelményeknek, köztük a harmadik fél kódjának segítségével az adatokhoz való hozzáférésre, az adatgyűjtésre, adathasználatra és adatmegosztásra érvényes követelményeknek is. Ne felejts el meggyőződni arról, hogy az alkalmazásod által használt harmadik félhez tartozó kód (például egy SDK) nem sérti meg a felhasználói adatokra vonatkozó irányelveket. Ha további információra van szükséged a jól látható közlésre és a hozzájárulásra vonatkozó követelményekről, tekintsd meg ezt a Súgócikket. Példák SDK által okozott irányelvsértésekre Olyan SDK-val rendelkező alkalmazás, amely személyes és érzékeny felhasználói adatokat gyűjt, és ezeket az adatokat nem kezeli úgy, mint amelyek a jelen felhasználói adatokra vonatkozó irányelvek, a hozzáférésnek, az adatkezelésnek (beleértve a tiltott értékesítést), valamint a feltűnő közzétételi és hozzájárulási követelményeknek a hatálya alá tartoznak. Olyan SDK-t integráló alkalmazás, amely alapértelmezés szerint személyes és bizalmas adatokat gyűjt, és ezzel megsérti a felhasználói hozzájárulásra és a jól látható nyilatkozatra vonatkozó irányelvi követelményeket. Olyan SDK-val rendelkező alkalmazás, amely állítása szerint kizárólag csalás és visszaélés megelőzése céljából gyűjt személyes és bizalmas adatokat, azonban az SDK a gyűjtött adatokat hirdetési vagy elemzési célból harmadik felekkel is megosztja. Olyan SDK-val rendelkező alkalmazás, amely továbbítja a felhasználók telepített csomagjaira vonatkozó információkat, azonban nem felel meg a jól látható nyilatkozatra vonatkozó iránymutatásoknak és/vagy az adatvédelmi irányelvekre vonatkozó iránymutatásoknak.  Tanulmányozd a nemkívánatos mobilszoftverekre vonatkozó irányelvet is. A személyes és bizalmas adatokhoz való hozzáférés további követelményei Az alábbi táblázat ismerteti a konkrét tevékenységekre vonatkozó követelményeket. Tevékenység  Követelmény Az alkalmazás állandó eszközazonosítókat (pl. IMEI, IMSI, SIM-sorozatszám stb.) gyűjt vagy kapcsol össze más adatokkal Az állandó eszközazonosítók nem kapcsolhatók össze más személyes és bizalmas felhasználói adatokkal vagy visszaállítható eszközazonosítókkal, a következők kivételével: SIM-alapú azonosításhoz kötődő telefonos szolgáltatások (pl. szolgáltatói fiókkal összekapcsolt Wi-Fi-hívás); eszköztulajdonosi módot használó vállalati eszközkezelő alkalmazások. Ezeket a felhasználási módokat egyértelműen a felhasználók tudomására kell hozni a felhasználói adatokra vonatkozó irányelveknek megfelelően. Ez a segédanyag bemutatja az egyéb használható egyedi azonosítókat. Az androidos hirdetésazonosítókkal kapcsolatos további útmutatás a hirdetési irányelvekben található. Az alkalmazás célközönsége gyermekeket foglal magában Alkalmazásod csak olyan SDK-kat tartalmazhat, amelyek öntanúsítással jelezték, hogy használhatók gyermekeknek készült szolgáltatásokban. Az irányelv teljes szövege és a követelmények itt találhatók: Családbarát öntanúsító hirdetési SDK program.   Példák SDK által okozott irányelvsértésekre Olyan SDK-t használó alkalmazás, amely összeköti az Android-azonosítót a tartózkodási hellyel Olyan SDK-t használó alkalmazás, amely hirdetési vagy elemzési célból összekapcsolja az állandó eszközazonosítókat és az AAID-t. Olyan SDK-t használó alkalmazás, amely hirdetési célból összekapcsolja az AAID-t és az e-mail-címet. Adatbiztonsági szakasz Minden fejlesztőnek egyértelmű és pontos Adatbiztonsági szakaszt kell kitöltenie az összes alkalmazásnál a felhasználói adatok begyűjtésére, felhasználására és megosztására vonatkozóan. Idetartoznak az alkalmazásaikban használt, harmadik féltől származó függvénytárakon vagy SDK-kon keresztül gyűjtött és kezelt adatok is. A fejlesztő felelős a címke tartalmának pontosságáért, és hogy az információk naprakészek legyenek. Adott esetben az Adatbiztonsági szakasznak konzisztensnek kell lennie az alkalmazás adatvédelmi irányelveiben foglaltakkal. Ebben a súgócikkben további információt találsz az Adatbiztonság szakasz kitöltésével kapcsolatban. Itt találod a felhasználói adatokra vonatkozó irányelveket.

Engedélyek és bizalmas információhoz hozzáférő API-k irányelve

Az engedély- és a bizalmas információkhoz hozzáférő API-kéréseket közérthető módon kell megfogalmazni a felhasználó számára. Csak olyan engedélyeket és bizalmas információkhoz hozzáférő API-kat kérhetsz, amelyek az alkalmazás meglévő, Google Play-adatlapján ismertetett funkcióinak vagy szolgáltatásainak megvalósításához szükségesek. Nem használhatsz sem olyan engedélyeket, sem olyan bizalmas információkhoz hozzáférő API-kat, amelyek nem nyilvános, megvalósításra nem kerülő vagy nem engedélyezett funkciókhoz vagy célokra biztosítanak hozzáférést a felhasználói vagy eszközadatokhoz. Az engedélyeknek vagy a bizalmas információkhoz hozzáférő API-knak köszönhetően megismert személyes vagy bizalmas adatok értékesítése, illetve értékesítési célból történő megosztása tilos. Itt találod az Engedélyek és bizalmas információhoz hozzáférő API-k irányelvét. Példák SDK által okozott irányelvsértésekre Alkalmazásod olyan SDK-t tartalmaz, amely nem engedélyezett vagy nem közölt célból kéri a helyadatok használatát a háttérben. Alkalmazásod olyan SDK-t tartalmaz, amely továbbítja a read_phone_state Android-engedélyből a felhasználó beleegyezése nélkül kinyert IMEI-t.

Rosszindulatú programokra vonatkozó irányelv

Rosszindulatú programokra vonatkozó irányelvünk egyszerű: az Android ökoszisztémája – a Google Play Áruházzal együtt – és a felhasználók eszközei legyenek mentesek mindennemű kártékony viselkedéstől (azaz rosszindulatú programtól). Ezzel az alapelvvel arra törekszünk, hogy biztonságos Android-ökoszisztémát nyújthassunk felhasználóinknak és androidos eszközeiknek. Rosszindulatú programnak tekintendő minden olyan kód, amely veszélynek teszi ki a felhasználót, a felhasználó adatait vagy a felhasználó eszközét. A rosszindulatú programok közé tartoznak (többek között) az olyan potenciálisan kártékony alkalmazások, futtatható állományok és keretrendszer-módosítások, melyek például trójai kártevőket, adathalász kísérleteket és kémprogramokat rejtenek. A rosszindulatú programok kategóriáit folyamatosan bővítjük. Tekintsd meg a Rosszindulatú programokra vonatkozó irányelvet. Példák SDK által okozott irányelvsértésekre olyan alkalmazások, amelyek áthágják az Android engedélykezelő rendszerét, vagy hitelesítési adatokat (pl. OAuth-tokeneket) szereznek más alkalmazásoktól; olyan alkalmazások, amelyek saját eltávolításuk vagy leállításuk megakadályozása érdekében visszaélnek bizonyos funkciókkal; olyan alkalmazások, amelyek letiltják a SELinux modult; olyan SDK-t tartalmazó alkalmazások, amely megsérti az Android engedélykezelő rendszerét úgy, hogy magasabb szintű jogosultságokat szerez az eszközadatokhoz való hozzáféréshez, mindezt nem közölt célból; olyan SDK-t tartalmazó alkalmazások, amely kódja megtéveszti a felhasználókat, hogy azok a mobilszámlájuk terhére előfizessenek bizonyos tartalmakra vagy megvásárolják azokat. A magasabb szintű hozzáférést szerző alkalmazásokat, amelyek a felhasználó engedélye nélkül rootolják az eszközt, rootoló alkalmazásoknak nevezzük.

Nemkívánatos mobilszoftverekre vonatkozó irányelv

Átlátható viselkedés és egyértelmű tájékoztatás Minden kódnak teljesítenie kell a felhasználóknak tett ígéreteket. Az alkalmazásoknak minden bemutatott funkciót biztosítaniuk kell. Az alkalmazásoknak nem szabad összezavarniuk a felhasználókat. Néhány irányelvsértés: Hirdetési csalás Bizalomra épülő manipuláció A felhasználói adatok védelme A személyes és bizalmas felhasználói adatokhoz való hozzáférésnek, valamint az ilyen adatok használatának, gyűjtésének és megosztásának egyértelműnek és átláthatónak kell lennie. A felhasználói adatok felhasználása során az összes vonatkozó felhasználóiadat-irányelvet követni kell, és meg kell tenni minden óvintézkedést az adatok védelme érdekében. Néhány irányelvsértés: Adatgyűjtés (vö. kémprogram) Korlátozott engedélyekkel való visszaélés Tekintsd meg a teljes Nemkívánatos mobilszoftverekre vonatkozó irányelvet

Eszközzel és hálózattal való visszaélésről szóló irányelv

Nem engedélyezünk olyan alkalmazásokat, amelyek jogosulatlan módon zavarják, akadályozzák, károsítják vagy érik el a felhasználó eszközét, illetve más eszközöket, számítógépeket, szervereket, hálózatokat, alkalmazásprogramozási felületeket (API-kat) vagy szolgáltatásokat – köztük az eszközön megtalálható egyéb alkalmazásokat, a Google szolgáltatásait és a mobilszolgáltatói hálózatokat. Olyan alkalmazások vagy harmadik félhez tartozó kódok (pl. SDK-k), amelyek tolmácsolt nyelvvel rendelkeznek (JavaScript, Python, Lua stb.), és a futásidő alatt töltődnek be (pl. nem részei az alkalmazásnak), nem engedélyezhetik a Google Play irányelveinek megsértését. Nem engedélyezünk olyan kódokat, amelyek biztonsági réseket hoznak létre vagy használnak ki. Tekintsd át az Alkalmazások biztonságának javítására szolgáló programunkat, amelyből értesülhetsz a fejlesztőknek jelzett legfrissebb biztonsági problémákról. Tekintsd meg a teljes Eszközzel és hálózattal való visszaélésről szóló irányelvet. Példák SDK által okozott irányelvsértésekre az alkalmazások csak akkor nyújthatnak proxyszolgáltatást harmadik felekkel való kapcsolat létrehozására, ha ez az elsődleges, felhasználók számára nyújtott, alapvető rendeltetésük; alkalmazásod olyan SDK-t tartalmaz, amelyben futtatható kód található (például dex fájlok vagy natív kód), amely forrása nem a Google Play; alkalmazásod olyan SDK-t használ, amely webes nézetet tartalmaz hozzáadott interfészinjekciós JavaScripttel, amely megbízhatatlan webes tartalmakat (pl. http:// URL-címeket) vagy megbízhatatlan forrásokból származó, ellenőrizetlen URL-címeket tölt be (pl. nem megbízható intentek URL-címeiből); alkalmazásod olyan SDK-t tartalmaz, amelyben a saját APK-ja frissítésére használatos kód található; alkalmazásod olyan SDK-t tartalmaz, amely biztonsági résnek teszi ki a felhasználókat azzal, hogy nem biztonságos kapcsolaton keresztül tölt le fájlokat; alkalmazásod olyan SDK-t használ, amely olyan kódot tartalmaz, amely a Google Playen kívüli, Ismeretlen forrásokból származó alkalmazásokat tölt le vagy telepít.

Megtévesztő viselkedésre vonatkozó irányelv

Nem engedélyezünk olyan alkalmazásokat, amelyek megpróbálják félrevezetni a felhasználókat, vagy tisztességtelen magatartást tesznek lehetővé. Ide tartoznak például a lehetetlen funkciót nyújtó alkalmazások. Az alkalmazásoknak pontos nyilatkozatot, leírást és képeket/videót kell biztosítaniuk funkcionalitásukról a metaadatok minden részében. Az alkalmazások nem kísérelhetik meg utánozni az operációs rendszer vagy más alkalmazások funkcióit és figyelmeztetéseit. Az eszköz beállításait csak a felhasználó tudtával és beleegyezésével szabad megváltoztatni, és csak akkor, ha a felhasználó visszavonhatja a változtatást. Tekintsd meg a teljes megtévesztő viselkedésre vonatkozó irányelvet Viselkedés átláthatósága Az alkalmazásod működésének – észszerű határok között – egyértelműnek kell lennie a felhasználók számára; az alkalmazásod ne tartalmazzon rejtett, használaton kívüli vagy nem dokumentált funkciókat. Az alkalmazás-felülvizsgálatok kijátszására szolgáló technikák nem engedélyezettek. Előfordulhat, hogy az alkalmazásoknak további részleteket kell megadniuk a felhasználói biztonság, a rendszerintegritás és az irányelveknek való megfelelés biztosítása érdekében. Példa SDK által okozott irányelvsértésre Az alkalmazásod olyan SDK-t tartalmaz, amely technikákat használ az alkalmazás-felülvizsgálatok elkerülése érdekében.

Mely Google Play fejlesztői irányelvek kapcsolódnak gyakran az SDK-k által okozott irányelvsértésekhez?

Segítünk gondoskodni róla, hogy az alkalmazásod által használt minden harmadik féltől származó kód megfeleljen a Google Play Fejlesztői programszabályzatának – figyelmesen olvasd el a következő irányelveket:

• Felhasználói adatokra vonatkozó irányelvek 
• Engedélyek és bizalmas információhoz hozzáférő API-k 
• Eszközzel és hálózattal való visszaéléssel kapcsolatos irányelv 
• Rosszindulatú programok 
• Nemkívánatos mobilszoftverek 
• Családbarát öntanúsító hirdetési SDK program
• Hirdetési irányelvek 
• Megtévesztő viselkedés
• Google Play Fejlesztői Programszabályzat 

Habár ezek a leggyakrabban érintett irányelvek, fontos megjegyezni, hogy a hibás SDK-kód más, a fentiekben meg nem nevezett irányelveket is megsérthet. Tanulmányozd az összes irányelvet, és maradj naprakész, mivel alkalmazásfejlesztőként a te felelősséged annak biztosítása, hogy az SDK-id az irányelveket betartva kezeljék az alkalmazásadataidat.

További információért keresd fel a Súgót.