คู่มือนี้อธิบายข้อกำหนดด้านความปลอดภัยสำหรับผู้ใช้ Google Ads และ Google Ads API รวมถึงการตรวจสอบสิทธิ์ด้วยพาสคีย์ที่จำเป็นเมื่อสร้างโทเค็นการรีเฟรช OAuth 2.0 และการยืนยันแบบ 2 ขั้นตอน (2SV) สำหรับบัญชีที่อยู่ภายใต้ข้อกำหนดด้านความปลอดภัยของบัญชีดูแลจัดการ
พาสคีย์คืออะไร
พาสคีย์เป็นรูปแบบหนึ่งของการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ที่รวมวิทยาการเข้ารหัสคีย์สาธารณะเข้ากับการรักษาความปลอดภัยที่มีอยู่ของอุปกรณ์ (เช่น ลายนิ้วมือ การสแกนใบหน้า หรือ PIN ล็อกหน้าจอ) เพื่อยืนยันตัวตนของเจ้าของบัญชี พาสคีย์จะรวมการครอบครองอุปกรณ์ ("สิ่งที่คุณมี" เช่น อุปกรณ์เคลื่อนที่หรือคีย์ FIDO2) เข้ากับความรู้เกี่ยวกับวิธีปลดล็อกอุปกรณ์ ("สิ่งที่คุณรู้") ซึ่งเป็นทางเลือกที่สะดวกแทนการใช้รหัสผ่าน
พาสคีย์ถือว่าปลอดภัยกว่าการยืนยันแบบ 2 ขั้นตอน (2SV) มาตรฐาน (หรือที่เรียกว่าการตรวจสอบสิทธิ์แบบ 2 ปัจจัยหรือ 2FA) ด้วยเหตุผลต่อไปนี้
- ผูกกับโดเมน: พาสคีย์จะเชื่อมโยงกับโดเมนที่เฉพาะเจาะจง (เช่น
google.com) และจะไม่ทำงานในเว็บไซต์ที่เป็นการฉ้อโกงซึ่งแอบอ้างเป็นเว็บไซต์ต้นฉบับ (เช่นgoogle-fake.com) - ผูกกับอุปกรณ์: พาสคีย์จะล็อกอยู่เบื้องหลังการตรวจสอบสิทธิ์ในเครื่องของอุปกรณ์ และต้องมีการดำเนินการจากผู้ใช้เพื่อปลดล็อก
- ไม่มีข้อมูลลับให้ขโมย: พาสคีย์ใช้วิธีการตรวจสอบสิทธิ์แบบ Challenge-Response ด้วยวิทยาการเข้ารหัสคีย์สาธารณะระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ และไม่ใช้รหัสผ่านแบบใช้งานครั้งเดียวหรือรหัสผ่านที่อาจถูกดักจับได้
ตั้งค่าพาสคีย์
หากต้องการตั้งค่าพาสคีย์ ให้ทำตามขั้นตอนต่อไปนี้
- ไปที่ g.co/passkeys แล้วลงชื่อเข้าใช้บัญชี Google
- คลิกสร้างพาสคีย์
- ทำตามข้อความแจ้งในอุปกรณ์เพื่อสร้างพาสคีย์
ข้อกำหนดพาสคีย์
ส่วนต่อไปนี้จะอธิบายข้อกำหนดของพาสคีย์สำหรับการใช้ Google Ads และ Google Ads API โดยละเอียด
ข้อกำหนดของ Google Ads
Google Ads รองรับการใช้พาสคีย์เพื่อลงชื่อเข้าใช้บัญชี ผู้ลงโฆษณาบางรายอาจต้องใช้พาสคีย์เพื่อให้สิทธิ์การดำเนินการที่มีความละเอียดอ่อนภายในบัญชี Google Ads
ข้อกำหนดของ Google Ads API
Google Ads API กำหนดให้ผู้ใช้ทุกคนต้องตรวจสอบสิทธิ์ด้วยพาสคีย์เมื่อทำตามเวิร์กโฟลว์การตรวจสอบสิทธิ์ผู้ใช้เพื่อสร้างโทเค็นการรีเฟรช OAuth 2.0 หากยังไม่ได้สร้างพาสคีย์ ระบบจะแจ้งให้คุณสร้างพาสคีย์ (ขึ้นอยู่กับการหน่วงเวลาเพื่อความปลอดภัยสูงสุด 7 วันก่อนที่จะใช้พาสคีย์ใหม่เพื่อดำเนินการตามเวิร์กโฟลว์การตรวจสอบสิทธิ์ให้เสร็จสมบูรณ์ได้) ไม่อนุญาตให้ใช้การตรวจสอบสิทธิ์รูปแบบอื่นๆ ที่ใช้รหัสผ่านเพียงอย่างเดียว หรือกลไกการยืนยันแบบ 2 ขั้นตอนมาตรฐาน เช่น รหัสผ่านแบบใช้ครั้งเดียวโดยอิงตามเวลา (TOTP) หรือรหัสที่อิงตาม SMS
โทเค็นการรีเฟรช OAuth ที่มีอยู่จะไม่ได้รับผลจากข้อกำหนดนี้ โทเค็นจะยังคงทำงานได้ตามปกติ และระบบจะไม่แจ้งให้ผู้ใช้ให้สิทธิ์อีกครั้งเมื่อได้รับโทเค็นเพื่อการเข้าถึง OAuth
การยืนยันแบบ 2 ขั้นตอนคืออะไร
การยืนยันแบบ 2 ขั้นตอน (2SV) หรือที่เรียกว่าการตรวจสอบสิทธิ์แบบ 2 ปัจจัย (2FA) เป็นรูปแบบหนึ่งของ MFA ที่เพิ่มปัจจัยการครอบครองที่ 2 ("สิ่งที่คุณมี") นอกเหนือจากชื่อผู้ใช้และรหัสผ่าน
การยืนยันแบบ 2 ขั้นตอนมีความปลอดภัยมากกว่าระบบการตรวจสอบสิทธิ์แบบปัจจัยเดียว ซึ่งการตรวจสอบสิทธิ์จะใช้เพียงชื่อผู้ใช้และปัจจัยความรู้เดียว ("สิ่งที่คุณรู้") ซึ่งโดยปกติแล้วจะเป็นรหัสผ่าน การกำหนดให้ใช้ปัจจัยที่ 2 จะทำให้ผู้ใช้ที่ไม่ได้รับอนุญาตละเมิดบัญชีของคุณได้ยากขึ้น รหัสผ่านอาจถูกละเมิดได้ แต่การใช้การยืนยันแบบ 2 ขั้นตอนหมายความว่ารหัสผ่านที่ถูกละเมิดเพียงอย่างเดียวไม่เพียงพอที่จะเข้าถึงบัญชีได้
สิ่งที่ต้องมีหรือทำสำหรับการยืนยันแบบ 2 ขั้นตอน
ส่วนต่อไปนี้จะอธิบายรายละเอียดข้อกำหนดการยืนยันแบบ 2 ขั้นตอนสำหรับการใช้ Google Ads และ Google Ads API
ข้อกำหนดของ Google Ads
Google Ads รองรับข้อบังคับด้านความปลอดภัยของบัญชีดูแลจัดการที่ช่วยให้ผู้ดูแลระบบบัญชีดูแลจัดการบังคับใช้การตั้งค่าความปลอดภัยขั้นต่ำกับบัญชีย่อยปัจจุบันและในอนาคตทั้งหมดที่บัญชีดูแลจัดการเป็นเจ้าของที่มีสิทธิ์ระดับผู้ดูแลระบบ นโยบายหนึ่งช่วยให้ผู้ดูแลระบบของบัญชีดูแลจัดการกำหนดให้ผู้ใช้ที่เป็นเจ้าของบัญชีย่อยเปิดใช้การยืนยันแบบ 2 ขั้นตอนในบัญชีเพื่อลงชื่อเข้าใช้ได้
ข้อกำหนดของ Google Ads API
หากต้องการสร้างโทเค็นการรีเฟรช OAuth 2.0 โดยใช้เวิร์กโฟลว์การตรวจสอบสิทธิ์ผู้ใช้ Google Ads API จะต้องใช้พาสคีย์แทนการยืนยันแบบ 2 ขั้นตอนมาตรฐาน
เมื่อบัญชีดูแลจัดการบังคับใช้ข้อกำหนดการยืนยันแบบ 2 ขั้นตอน โทเค็นการรีเฟรช OAuth ที่มีอยู่จะยังคงทำงานได้โดยไม่ต้องแจ้งให้ผู้ใช้ให้สิทธิ์อีกครั้งเมื่อได้รับโทเค็นเพื่อการเข้าถึง OAuth
อย่างไรก็ตาม การเรียก Google Ads API ไปยังบัญชีที่อยู่ภายใต้ข้อบังคับดังกล่าวจะดำเนินการไม่สำเร็จและแสดงข้อผิดพลาด TWO_STEP_VERIFICATION_NOT_ENROLLED จนกว่าผู้ใช้จะเปิดใช้การยืนยันแบบ 2 ขั้นตอนในบัญชี Google