Questa guida mostra come assicurarsi che le credenziali dell'applicazione e dell'utente siano sicure.
Completa la verifica dell'app OAuth
L'ambito OAuth 2.0 per l'API Google Ads è classificato come ambito con limitazioni , il che significa che devi completare la procedura di verifica dell'applicazione OAuth prima di mettere in produzione l'applicazione. Per saperne di più, consulta la documentazione di Google Identity, l'articolo del Centro assistenza sulle app non verificate e i documenti sulla configurazione della schermata di consenso OAuth.
Proteggi le credenziali dell'applicazione
Devi proteggere l'ID client OAuth 2.0 e il client secret della tua applicazione. Queste credenziali aiutano gli utenti e Google a identificare la tua applicazione, pertanto devono essere gestite con attenzione. Devi trattare queste credenziali dell'applicazione come password. Non condividerle utilizzando meccanismi non sicuri, ad esempio pubblicandole su forum pubblici, inviando file di configurazione contenenti queste credenziali negli allegati email, codificando le credenziali o eseguendo il commit in un repository di codice. Ti consigliamo di utilizzare un gestore dei secret, come Google Cloud Secret manager o AWS Secret Manager, quando possibile.
Se i client secret OAuth 2.0 sono compromessi, puoi reimpostarli. È possibile reimpostare anche un token sviluppatore.
Proteggi il token sviluppatore
Il token sviluppatore ti consente di effettuare chiamate API a un account, ma non ha restrizioni sugli account con cui può essere utilizzato per effettuare le chiamate. Di conseguenza, un token sviluppatore compromesso può essere utilizzato da un'altra persona per effettuare chiamate attribuite alla tua applicazione. Per evitare questo scenario, adotta queste misure preventive:
Tratta il token sviluppatore come una password. Non condividerlo utilizzando meccanismi non sicuri, ad esempio pubblicandolo su forum pubblici o inviando file di configurazione contenenti i token sviluppatore come allegato email. Ti consigliamo di utilizzare un gestore dei secret, come Google Cloud Secret Manager o AWS Secret Manager, quando possibile.
Se il token sviluppatore è compromesso, devi reimpostarlo.
- Accedi all'account amministratore Google Ads che hai utilizzato quando hai richiesto l'API Google Ads.
- Vai a Strumenti e impostazioni > Centro API.
- Fai clic sulla freccia del menu a discesa accanto a Token sviluppatore.
- Fai clic sul link Reimposta token. Il vecchio token sviluppatore dovrebbe smettere di funzionare immediatamente.
- Aggiorna la configurazione di produzione dell'applicazione in modo che utilizzi il nuovo token sviluppatore.
Proteggi i service account
I service account richiedono la simulazione dell'identità a livello di dominio per funzionare correttamente con l'API Google Ads. Inoltre, devi essere un cliente Google Workspace per configurare la simulazione dell'identità a livello di dominio. Per questi motivi, sconsigliamo di utilizzare i service account quando effettui chiamate all'API Google Ads. Tuttavia, se decidi di utilizzare i service account, devi proteggerli nel seguente modo:
Tratta la chiave del service account e il file JSON come password. Proteggili utilizzando un gestore dei secret, come Google Cloud Secret Manager o AWS Secret Manager, quando possibile.
Segui le best practice aggiuntive di Google Cloud per proteggere e gestire i service account.
Proteggi i token utente
Se la tua app autorizza più utenti, devi adottare ulteriori misure per proteggere i token di aggiornamento e di accesso degli utenti. Archivia i token in modo sicuro a riposo e non trasmetterli mai in testo normale. Utilizza un sistema di archiviazione sicuro appropriato per la tua piattaforma.
Gestisci la revoca e la scadenza dei token di aggiornamento
Se la tua app richiede il token di aggiornamento OAuth 2.0 come parte dell'autorizzazione, devi anche gestirne l'invalidazione o la scadenza. I token di aggiornamento potrebbero essere invalidati per vari motivi e la tua applicazione deve rispondere in modo appropriato riautorizzando l'utente durante la sessione di accesso successiva o eliminando i suoi dati in modo appropriato. I job offline, come i job cron, devono rilevare e registrare gli account i cui token di aggiornamento sono scaduti, anziché continuare a effettuare richieste non riuscite. Google potrebbe limitare le applicazioni che generano livelli elevati di errori per un periodo di tempo prolungato per mantenere la stabilità dei server API.
Gestisci il consenso per più ambiti
Se la tua app richiede l'autorizzazione per più ambiti OAuth 2.0, l'utente potrebbe non concedere tutti gli ambiti OAuth che hai richiesto. La tua app deve gestire il rifiuto degli ambiti disattivando le funzionalità pertinenti. Puoi richiedere di nuovo all'utente solo dopo che ha indicato chiaramente l'intenzione di utilizzare la funzionalità specifica che richiede l'ambito. In questi casi, utilizza l'autorizzazione incrementale per richiedere gli ambiti OAuth appropriati.
Se le funzionalità di base della tua app richiedono più ambiti, spiega questo requisito all'utente prima di richiedere il consenso.