Cấp quyền cho ứng dụng Zalo: Hướng dẫn permission, scope

Cấp quyền cho ứng dụng Zalo là gì?

Cấp quyền cho ứng dụng Zalo là quá trình cho phép một ứng dụng bên thứ ba truy cập dữ liệu hoặc thực hiện tác vụ nhất định thông qua nền tảng Zalo Developer. Ứng dụng không được tự động dùng toàn bộ thông tin của người dùng mà chỉ hoạt động trong phạm vi đã đăng ký, được nền tảng chấp thuận và được người dùng đồng ý.

Permission và scope khác nhau thế nào?

Permission là quyền chức năng mà ứng dụng được phép sử dụng, ví dụ đọc thông tin cơ bản hoặc thực hiện một tác vụ qua API. Scope là giá trị được gửi trong yêu cầu xác thực để mô tả phạm vi truy cập mà ứng dụng muốn người dùng chấp thuận.

Nhà phát triển thường đăng ký quyền trên trang quản lý ứng dụng, sau đó truyền danh sách scope trong luồng xác thực. Access token nhận được chỉ đại diện cho phạm vi đã cấp, không phải chìa khóa truy cập mọi API của Zalo.

Áp dụng nguyên tắc quyền tối thiểu

Ứng dụng chỉ nên xin những quyền thực sự cần cho tính năng hiện tại. Yêu cầu quá nhiều scope ngay lần đăng nhập đầu tiên có thể làm người dùng lo ngại, giảm tỷ lệ đồng ý và khiến hồ sơ xét duyệt khó được chấp thuận.

Khi bổ sung tính năng mới, ứng dụng có thể triển khai luồng xin quyền bổ sung. Cách làm này minh bạch hơn so với việc xin trước những quyền chưa có mục đích sử dụng rõ ràng.

Các nhóm quyền thường gặp trên Zalo Developer

Tùy loại sản phẩm, nhà phát triển có thể làm việc với quyền đăng nhập, quyền truy cập dữ liệu người dùng, quyền liên quan đến Zalo OA hoặc quyền dành cho một API cụ thể. Tên scope và điều kiện sử dụng có thể khác theo sản phẩm, phiên bản API và chính sách tại thời điểm triển khai.

Quyền đăng nhập và nhận diện

Nhóm quyền cơ bản thường phục vụ chức năng đăng nhập bằng Zalo. Mục tiêu là xác nhận người dùng đã đăng nhập và liên kết tài khoản Zalo với tài khoản nội bộ của ứng dụng.

Quyền dữ liệu mở rộng

Một số tính năng cần dữ liệu vượt quá thông tin nhận diện cơ bản. Đây thường là nhóm quyền phải giải thích rõ mục đích, có thể cần xét duyệt và chỉ được sử dụng trong đúng ngữ cảnh đã đăng ký.

Khi Cấp quyền cho ứng dụng Zalo, đội phát triển cần xác định dữ liệu nào được thu thập, thời gian lưu trữ và bộ phận được phép truy cập. Không nên xin quyền chỉ vì dự đoán có thể cần trong tương lai.

Quyền liên quan đến Zalo OA

Ứng dụng chăm sóc khách hàng, quản trị hoặc tự động hóa có thể cần quyền làm việc với Zalo OA. Phạm vi có thể liên quan đến việc xác định OA, gọi API được cho phép hoặc nhận sự kiện từ webhook.

Nhà phát triển phải phân biệt token người dùng, token ứng dụng và token phục vụ OA. Dùng sai loại token là nguyên nhân phổ biến khiến API báo thiếu quyền dù quá trình đăng nhập vẫn thành công.

Cách đăng ký permission và scope

Quy trình bắt đầu từ việc tạo hoặc mở ứng dụng trên cổng Zalo Developer. Trước khi đăng ký quyền, cần hoàn thiện tên ứng dụng, miền sử dụng, URL chuyển hướng, chính sách quyền riêng tư và thông tin đơn vị vận hành.

Bước 1: Liệt kê tính năng và dữ liệu

Hãy lập bảng đối chiếu giữa từng tính năng với dữ liệu, API và scope tương ứng. Ví dụ, đăng nhập cần định danh tài khoản; quản trị OA cần quyền phù hợp với OA; đồng bộ dữ liệu cần xác định rõ dữ liệu đầu vào, đầu ra và tần suất truy cập.

Bước 2: Cấu hình ứng dụng

URL chuyển hướng phải dùng đúng giao thức, tên miền và đường dẫn đã khai báo. Sai cổng, thiếu đường dẫn hoặc thừa dấu gạch chéo cũng có thể làm luồng xác thực thất bại.

Trang chính sách quyền riêng tư cần nêu ứng dụng thu thập gì, dùng cho mục đích nào, thời gian lưu trữ và cách người dùng yêu cầu xóa dữ liệu. Nội dung cụ thể giúp hồ sơ dễ kiểm tra hơn.

Bước 3: Chọn scope và gửi xét duyệt

Trong phần cấu hình sản phẩm hoặc quyền, chọn những scope phục vụ đúng tính năng. Một số quyền có thể dùng trong môi trường thử nghiệm, còn quyền mở rộng hoặc nhạy cảm có thể phải được phê duyệt trước khi áp dụng cho người dùng thật.

Sau khi bật quyền, cần kiểm tra danh sách scope trong yêu cầu xác thực. Đăng ký trên trang quản lý nhưng quên truyền scope, hoặc truyền scope chưa được chấp thuận, đều có thể khiến token thiếu quyền.

Bước 4: Kiểm thử nhiều tình huống

Nên kiểm thử trường hợp người dùng đồng ý, từ chối, đóng cửa sổ, quay lại bằng nút trình duyệt và thu hồi quyền sau đó. Ứng dụng phải xử lý từng nhánh thay vì mặc định mọi yêu cầu đều thành công.

Luồng người dùng cấp quyền

Luồng cấp quyền thường bắt đầu khi ứng dụng chuyển người dùng đến trang xác thực của Zalo. Yêu cầu chứa thông tin ứng dụng, URL chuyển hướng, state và danh sách scope. Sau khi đăng nhập, người dùng nhìn thấy những quyền ứng dụng đang đề nghị.

Tạo yêu cầu xác thực an toàn

Tham số state cần được tạo ngẫu nhiên, gắn với phiên đăng nhập và kiểm tra khi người dùng quay về. Đây là lớp bảo vệ quan trọng trước hành vi giả mạo yêu cầu xác thực.

Redirect URI phải khớp với cấu hình và không được lấy tùy ý từ dữ liệu phía client. Nếu cho phép chuyển hướng tới địa chỉ không kiểm soát, kẻ tấn công có thể lợi dụng để lấy mã ủy quyền.

Người dùng đồng ý hoặc từ chối

Khi người dùng đồng ý, nền tảng chuyển hướng về hệ thống để ứng dụng tiếp tục nhận token theo luồng được hỗ trợ. Nếu người dùng từ chối, ứng dụng cần hiển thị thông báo dễ hiểu và chỉ giới hạn tính năng thực sự phụ thuộc vào quyền đó.

Nhận token và kiểm tra phạm vi

Backend phải nhận, lưu và sử dụng token ở phía máy chủ. Token cần được gắn đúng với người dùng, ứng dụng, môi trường và phạm vi đã cấp.

Trước khi gọi API quan trọng, hệ thống nên kiểm tra scope hiện có. Nếu thiếu quyền, người dùng được chuyển qua luồng cấp bổ sung thay vì để API liên tục trả lỗi.

Xét duyệt quyền nhạy cảm và bảo mật

Quyền nhạy cảm thường liên quan đến dữ liệu cá nhân, hành động thay mặt người dùng hoặc tài nguyên doanh nghiệp. Nền tảng có thể yêu cầu mô tả trường hợp sử dụng, tài khoản thử nghiệm, video thao tác và tài liệu pháp lý.

Chuẩn bị hồ sơ xét duyệt

Hồ sơ nên mô tả đầy đủ hành trình: người dùng bắt đầu ở đâu, bấm nút nào, nhìn thấy màn hình xin quyền nào và dữ liệu được sử dụng tại bước nào. Video cần thể hiện chức năng hoạt động thực tế, không chỉ quay màn hình đăng nhập.

Tài khoản kiểm thử phải có đủ dữ liệu để đội xét duyệt tái hiện tính năng. Nếu sản phẩm có nhiều bước hoặc yêu cầu cấu hình đặc biệt, hãy ghi hướng dẫn cụ thể.

Lý do quyền thường bị từ chối

Hồ sơ có thể bị từ chối khi mục đích sử dụng không khớp scope, ứng dụng xin quyền rộng hơn nhu cầu, chính sách quyền riêng tư thiếu nội dung hoặc tính năng trong video không hoạt động. Tên, logo và miền không nhất quán cũng làm giảm độ tin cậy.

Khi nhận phản hồi, cần sửa sản phẩm hoặc hồ sơ thay vì gửi lại nguyên trạng. Hãy giảm scope không cần thiết, bổ sung giải thích và quay video mới thể hiện đúng luồng.

Bảo vệ secret, token và dữ liệu

App secret chỉ được lưu ở backend hoặc hệ thống quản lý bí mật, không đưa vào JavaScript, ứng dụng di động hay kho mã công khai. Mọi trao đổi nhạy cảm phải dùng HTTPS.

Access token nên được mã hóa khi lưu, giới hạn quyền truy cập và không ghi nguyên giá trị vào log. Backend phải theo dõi thời hạn token, xử lý token bị thu hồi và tránh gọi API lặp lại liên tục sau lỗi xác thực.

Ứng dụng cũng nên có chức năng ngắt liên kết Zalo. Khi người dùng thu hồi quyền, tác vụ nền phải dừng, token phải bị vô hiệu hóa và dữ liệu không còn mục đích sử dụng cần được xử lý theo chính sách.

Lỗi thường gặp khi cấp quyền

Scope không hợp lệ hoặc chưa được duyệt

Lỗi này thường xảy ra khi ứng dụng gửi scope chưa bật, viết sai tên hoặc chưa được phê duyệt cho môi trường sản xuất. Cần so sánh scope trong mã nguồn với cấu hình trên Zalo Developer và trạng thái xét duyệt hiện tại.

Redirect URI không khớp

Hãy kiểm tra giao thức, tên miền, cổng, đường dẫn và dấu gạch chéo cuối. Môi trường phát triển, thử nghiệm và sản xuất nên có cấu hình riêng để tránh ghi đè URL.

Nếu hệ thống chạy sau proxy hoặc bộ cân bằng tải, backend phải nhận biết đúng giao thức bên ngoài. Việc tạo URL HTTP trong khi người dùng truy cập HTTPS có thể khiến redirect URI không trùng khớp.

Đã cấp quyền nhưng API vẫn báo thiếu quyền

Nguyên nhân có thể là token cũ, sai loại token, sai tài khoản hoặc gọi nhầm API thuộc sản phẩm khác. Cần kiểm tra token được phát hành cho ai, có scope nào và đang được dùng ở môi trường nào.

Người dùng cũng có thể đã thu hồi quyền. Khi đó, ứng dụng cần yêu cầu xác thực lại thay vì coi đây là lỗi mạng tạm thời.

Chỉ quản trị viên sử dụng được

Trường hợp ứng dụng hoạt động với quản trị viên nhưng lỗi với người dùng thật thường liên quan đến chế độ phát triển, danh sách tài khoản kiểm thử hoặc quyền chưa được duyệt công khai. Hãy thử bằng tài khoản không có vai trò quản trị trước khi phát hành.

Kết luận

Cấp quyền cho ứng dụng Zalo cần được thiết kế như một quy trình bảo mật hoàn chỉnh, từ xác định nhu cầu, đăng ký permission và scope, tạo luồng người dùng đồng ý đến quản lý token và xử lý thu hồi. Phương pháp tốt nhất là yêu cầu quyền tối thiểu, giải thích rõ mục đích và kiểm tra phạm vi trước khi gọi API bên cạnh zalo web.

Đối với quyền nhạy cảm, hồ sơ xét duyệt phải phản ánh đúng chức năng đang hoạt động và chứng minh dữ liệu chỉ được dùng cho mục đích đã công bố. Khi cấu hình chính xác, trải nghiệm minh bạch và token được bảo vệ chặt chẽ, ứng dụng sẽ giảm lỗi tích hợp và duy trì an toàn trong suốt vòng đời kết nối với Zalo.