Anmeldedaten schützen

In dieser Anleitung erfahren Sie, wie Sie für die Sicherheit Ihrer Anwendung und Nutzeranmeldedaten sorgen können.

OAuth-App-Überprüfung abschließen

Der OAuth 2.0-Bereich für die Google Ads API ist als eingeschränkter Bereich klassifiziert. Das bedeutet, dass Sie vor der Produktion der Anwendung die Überprüfung der OAuth-Anwendung abschließen sollten. Weitere Informationen finden Sie in der Dokumentation zu Google Identity und im Hilfeartikel.

Anmeldedaten für die Anwendung sichern

Sie sollten die OAuth 2.0-Client-ID und den Clientschlüssel Ihrer Anwendung sichern. Diese Anmeldedaten helfen Ihren Nutzern und Google dabei, Ihre Anwendung zu identifizieren. Daher sollte mit ihnen vorsichtig umgegangen werden. Sie sollten diese Anwendungsanmeldedaten wie Passwörter behandeln. Verwenden Sie keine unsicheren Mechanismen wie das Posten in öffentlichen Foren, das Senden von Konfigurationsdateien mit diesen Anmeldedaten in E-Mail-Anhängen, eine Hartcodierung der Anmeldedaten oder die Übertragung der Anmeldedaten in ein Code-Repository. Wir empfehlen, nach Möglichkeit einen Secret-Manager wie Google Cloud Secret Manager oder AWS Secret Manager zu verwenden.

Wenn Ihre OAuth 2.0-Clientschlüssel kompromittiert wurden, können Sie sie zurücksetzen. Ein Entwickler-Token kann auch zurückgesetzt werden.

Entwicklertoken sichern

Mit dem Entwicklertoken können Sie API-Aufrufe an ein Konto senden. Es gibt jedoch keine Einschränkungen dafür, mit welchen Konten die Aufrufe erfolgen können. Daher kann ein manipuliertes Entwicklertoken von jemand anderem für Aufrufe verwendet werden, die Ihrer Anwendung zugeordnet sind. Ergreifen Sie die folgenden vorbeugenden Maßnahmen, um dieses Szenario zu vermeiden:

  • Behandeln Sie das Entwickler-Token wie ein Passwort. Verwenden Sie keine unsicheren Mechanismen wie das Posten in öffentlichen Foren oder das Senden von Konfigurationsdateien mit Entwicklertokens als E-Mail-Anhang. Wir empfehlen, nach Möglichkeit einen Secret-Manager wie Google Cloud Secret Manager oder AWS Secret Manager zu verwenden.

  • Wenn Ihr Entwicklertoken kompromittiert wurde, sollten Sie es zurücksetzen.

    • Melden Sie sich in dem Google Ads-Verwaltungskonto an, das Sie beim Beantragen der Google Ads API verwendet haben.
    • Rufen Sie Tools und Einstellungen > API-Center auf.
    • Klicken Sie auf den Drop-down-Pfeil neben Entwickler-Token.
    • Klicken Sie auf den Link Token zurücksetzen. Ihr altes Entwickler-Token sollte sofort nicht mehr funktionieren.
    • Aktualisieren Sie die Produktionskonfiguration Ihrer Anwendung, um das neue Entwickler-Token zu verwenden.

Dienstkonten schützen

Für Dienstkonten ist eine domainweite Identitätsübernahme erforderlich, um ordnungsgemäß mit der Google Ads API zu funktionieren. Außerdem sollten Sie Google Workspace-Kunde sein, um die domainweite Identitätsübernahme einzurichten. Daher raten wir davon ab, für Google Ads API-Aufrufe Dienstkonten zu verwenden. Wenn Sie sich jedoch für die Verwendung von Dienstkonten entscheiden, sollten Sie diese so sichern:

Nutzertokens sichern

Wenn Ihre Anwendung mehrere Nutzer autorisiert, sollten Sie zusätzliche Schritte unternehmen, um die Aktualisierungs- und Zugriffstokens der Nutzer zu schützen. Bewahren Sie die Tokens sicher im Ruhezustand auf und übertragen Sie sie niemals als Klartext. Verwenden Sie ein sicheres Speichersystem, das für Ihre Plattform geeignet ist.

Widerruf und Ablauf von Aktualisierungstokens

Wenn Ihre Anwendung im Rahmen der Autorisierung ein OAuth 2.0-Aktualisierungstoken anfordert, müssen Sie auch deren Entwertung oder Ablauf behandeln. Aktualisierungstokens können aus verschiedenen Gründen ungültig werden. Ihre Anwendung sollte in diesem Fall entweder durch eine erneute Autorisierung des Nutzers bei der nächsten Anmeldesitzung oder durch entsprechende Bereinigung der Daten ordnungsgemäß reagieren. Offlinejobs wie Cronjobs sollten Konten, deren Aktualisierungstoken abgelaufen ist, erkennen und aufzeichnen, anstatt weiterhin fehlgeschlagene Anfragen zu senden. Google kann Anwendungen, die ein hohes Maß an Fehlern generieren, über einen längeren Zeitraum drosseln, um die Stabilität der API-Server aufrechtzuerhalten.

Einwilligung für mehrere Umfänge verwalten

Wenn Ihre Anwendung die Autorisierung für mehrere OAuth 2.0-Bereiche anfordert, gewährt der Nutzer möglicherweise nicht alle angeforderten OAuth-Bereiche. Ihre Anwendung sollte die Ablehnung von Bereichen verarbeiten können, indem Sie die entsprechenden Funktionen deaktivieren. Du kannst den Nutzer erst dann noch einmal auffordern, wenn er klar angegeben hat, dass er die Funktion verwenden möchte, für die der Umfang erforderlich ist. Verwenden Sie in diesen Fällen die inkrementelle Autorisierung, um die entsprechenden OAuth-Bereiche anzufordern.

Wenn die grundlegenden Funktionen Ihrer App mehrere Bereiche erfordern, erklären Sie dem Nutzer diese Anforderung, bevor Sie die Einwilligung einholen.

Zurück
Übersicht
Weiter
Zugriffsebenen