Z tego przewodnika dowiesz się, jak zadbać o bezpieczeństwo aplikacji i danych logowania użytkowników.
Dokończ weryfikację aplikacji OAuth
Zakres OAuth 2.0 dla interfejsu Google Ads API jest klasyfikowany jako zakres ograniczony, co oznacza, że musisz przejść proces weryfikacji aplikacji OAuth przed wdrożeniem aplikacji w środowisku produkcyjnym. Więcej informacji znajdziesz w dokumentacji Google Identity, artykule w Centrum pomocy na temat niezweryfikowanych aplikacji oraz w dokumentach na temat konfigurowania ekranu akceptacji OAuth.
Zabezpiecz dane logowania do aplikacji
Zabezpiecz identyfikator klienta OAuth 2.0 i klucz klienta aplikacji. Te dane logowania pomagają użytkownikom i Google zidentyfikować Twoją aplikację, dlatego należy się z nimi ostrożnie obchodzić. Dane logowania do aplikacji traktuj jak hasła. Nie udostępniaj ich za pomocą niezabezpieczonych mechanizmów, takich jak publikowanie na forach publicznych, wysyłanie plików konfiguracyjnych zawierających te dane logowania w załącznikach do e-maili, kodowanie na stałe danych logowania lub przesyłanie ich do repozytorium kodu. Jeśli to możliwe, zalecamy korzystanie z menedżera obiektów tajnych, takiego jak Google Cloud Secret Manager lub AWS Secret Manager.
Jeśli klucze klienta OAuth 2.0 zostaną naruszone, możesz je zresetować.
Zabezpiecz konta usługi
Jeśli używasz kont usługi, zabezpiecz je w ten sposób:
Traktuj klucz konta usługi i plik JSON jak hasła. Jeśli to możliwe, zabezpiecz je za pomocą menedżera obiektów tajnych, takiego jak Google Cloud Secret Manager lub AWS Secret Manager.
Aby zabezpieczyć konta usługi i nimi zarządzać, postępuj zgodnie z dodatkowymi sprawdzonymi metodami z Google Cloud.
Zabezpiecz tokeny użytkowników
Jeśli Twoja aplikacja autoryzuje wielu użytkowników, musisz podjąć dodatkowe kroki, aby chronić tokeny odświeżania i tokeny dostępu użytkowników. Przechowuj tokeny w bezpieczny sposób at rest i nigdy nie przesyłaj ich w postaci zwykłego tekstu. Używaj bezpiecznego systemu przechowywania odpowiedniego dla Twojej platformy.
Obsługa unieważnienia i wygaśnięcia tokena odświeżania
Jeśli Twoja aplikacja prosi o token odświeżania OAuth 2.0 w ramach autoryzacji, musisz też obsługiwać jego unieważnienie lub wygaśnięcie. Tokeny odświeżania mogą zostać unieważnione z różnych powodów, a Twoja aplikacja powinna odpowiednio reagować, np. ponownie autoryzując użytkownika podczas następnej sesji logowania lub usuwając jego dane. Zadania offline, takie jak zadania cron, powinny wykrywać i rejestrować konta, których tokeny odświeżania wygasły, zamiast kontynuować wysyłanie nieudanych żądań. Google może ograniczyć liczbę żądań wysyłanych przez aplikacje, które przez dłuższy czas generują dużą liczbę błędów, aby utrzymać stabilność serwerów API.
Zarządzanie zgodą na wykorzystanie danych w przypadku wielu zakresów
Jeśli Twoja aplikacja prosi o autoryzację w przypadku wielu zakresów OAuth 2.0, użytkownik może nie przyznać wszystkich żądanych zakresów OAuth. Twoja aplikacja powinna obsługiwać odrzucanie zakresów przez wyłączanie odpowiednich funkcji. Możesz ponownie poprosić użytkownika o zgodę dopiero wtedy, gdy wyraźnie wskaże on, że chce używać konkretnej funkcji, która wymaga tego zakresu. W takich przypadkach użyj autoryzacji przyrostowej, aby poprosić o odpowiednie zakresy OAuth.
Jeśli podstawowe funkcje aplikacji wymagają wielu zakresów, wyjaśnij to użytkownikowi, zanim poprosisz go o zgodę.