इस गाइड में यह पक्का करने का तरीका बताया गया है कि आपका ऐप्लिकेशन और उपयोगकर्ता क्रेडेंशियल सुरक्षित हैं.
OAuth ऐप्लिकेशन की पुष्टि की प्रक्रिया पूरी करना
Google Ads API के लिए OAuth 2.0 के स्कोप को सीमित दायरे में रखा गया है. इसका मतलब है कि आपको ऐप्लिकेशन बनाने से पहले, OAuth ऐप्लिकेशन की पुष्टि की प्रक्रिया पूरी कर लेनी चाहिए. ज़्यादा जानने के लिए, Google Identity दस्तावेज़ और सहायता केंद्र का लेख पढ़ें.
ऐप्लिकेशन क्रेडेंशियल सुरक्षित करें
आपको अपने ऐप्लिकेशन का OAuth 2.0 क्लाइंट आईडी और क्लाइंट सीक्रेट सुरक्षित रखना चाहिए. इन क्रेडेंशियल से आपके उपयोगकर्ताओं और Google को, आपके ऐप्लिकेशन को पहचानने में मदद मिलती है. इसलिए, इन्हें सावधानी से हैंडल करना चाहिए. आपको इन ऐप्लिकेशन क्रेडेंशियल को पासवर्ड की तरह इस्तेमाल करना चाहिए. इन्हें सार्वजनिक फ़ोरम पर पोस्ट करने, ईमेल अटैचमेंट में इन क्रेडेंशियल वाली कॉन्फ़िगरेशन फ़ाइल भेजने, क्रेडेंशियल की हार्ड कोडिंग या इन्हें कोड को स्टोर करने की जगह देने जैसे असुरक्षित तरीकों का इस्तेमाल करके शेयर न करें. हमारा सुझाव है कि जब भी हो सके, किसी सीक्रेट मैनेजर की मदद लें. जैसे, Google Cloud Secret मैनेजर या AWS Secret Manager.
अगर आपके OAuth 2.0 क्लाइंट सीक्रेट हैक हो गए हैं, तो उन्हें रीसेट किया जा सकता है. डेवलपर टोकन को रीसेट भी किया जा सकता है.
डेवलपर टोकन को सुरक्षित करें
डेवलपर टोकन से किसी खाते पर एपीआई कॉल किए जा सकते हैं. हालांकि, इस बात पर कोई पाबंदी नहीं होती है कि कॉल करने के लिए किन खातों के साथ इसका इस्तेमाल किया जा सकता है. इस वजह से, छेड़छाड़ किए गए डेवलपर टोकन का इस्तेमाल करके कोई दूसरा व्यक्ति आपके ऐप्लिकेशन से मिले कॉल का इस्तेमाल कर सकता है. इस स्थिति से बचने के लिए, निरोधक तरीके अपनाएं:
अपने डेवलपर टोकन को पासवर्ड की तरह इस्तेमाल करें. इसे सार्वजनिक फ़ोरम पर पोस्ट करने या डेवलपर टोकन वाली कॉन्फ़िगरेशन फ़ाइलें भेजने के असुरक्षित तरीकों का इस्तेमाल करके शेयर न करें. हमारा सुझाव है कि जब भी हो सके, किसी सीक्रेट मैनेजर खाते का इस्तेमाल करें. जैसे, Google Cloud Secret Manager या AWS Secret Manager.
अगर आपके डेवलपर टोकन के साथ छेड़छाड़ की गई है, तो आपको उसे रीसेट करना होगा.
- उस Google Ads मैनेजर खाते में साइन इन करें जिसका इस्तेमाल आपने Google Ads API के लिए आवेदन करते समय किया था.
- टूल और सेटिंग > एपीआई सेंटर पर जाएं.
- डेवलपर टोकन के बगल में मौजूद, ड्रॉप-डाउन ऐरो पर क्लिक करें.
- टोकन रीसेट करें लिंक पर क्लिक करें. आपका पुराना डेवलपर टोकन तुरंत काम करना बंद कर देगा.
- नए डेवलपर टोकन का इस्तेमाल करने के लिए, अपने ऐप्लिकेशन का प्रोडक्शन कॉन्फ़िगरेशन अपडेट करें.
सेवा खातों को सुरक्षित करना
सेवा खातों के लिए यह ज़रूरी है कि Google Ads API के साथ सही तरीके से काम करने के लिए, पूरे डोमेन में किसी दूसरे के नाम पर काम किया जाए. इसके अलावा, पूरे डोमेन के लिए झूठी पहचान की पुष्टि करने की सुविधा सेट अप करने के लिए, आपको Google Workspace ग्राहक होना चाहिए. इन्हीं वजहों से, हमारा सुझाव है कि Google Ads API कॉल करते समय, सेवा खातों का इस्तेमाल न करें. हालांकि, अगर आप सेवा खातों का इस्तेमाल करने का फ़ैसला करते हैं, तो आपको उन्हें इस तरह सुरक्षित करना चाहिए:
अपनी सेवा खाता कुंजी और JSON फ़ाइल को पासवर्ड मानें. जब भी मुमकिन हो, Google Cloud Secret Manager या AWS Secret Manager जैसे सीक्रेट मैनेजर का इस्तेमाल करके उन्हें सुरक्षित करें.
अपने सेवा खातों को सुरक्षित और मैनेज करने के लिए, Google Cloud में दिए गए अन्य सबसे सही तरीके अपनाएं.
उपयोगकर्ता टोकन सुरक्षित करें
अगर आपके ऐप्लिकेशन में एक से ज़्यादा उपयोगकर्ताओं को अनुमति दी गई है, तो आपको उपयोगकर्ताओं के रीफ़्रेश और ऐक्सेस टोकन की सुरक्षा के लिए अतिरिक्त कदम उठाने चाहिए. टोकन को किसी भी समय सुरक्षित तरीके से सेव करके रखें और कभी भी उन्हें सादे टेक्स्ट में न भेजें. अपने प्लैटफ़ॉर्म के हिसाब से सुरक्षित स्टोरेज सिस्टम का इस्तेमाल करें.
रीफ़्रेश टोकन रद्द करने और उसकी समयसीमा खत्म होने की तारीख मैनेज करना
अगर आपके ऐप्लिकेशन को अनुमति के तौर पर, OAuth 2.0 रीफ़्रेश टोकन का अनुरोध किया जाता है, तो आपको उनके अमान्य होने या उनकी समयसीमा खत्म होने की समस्या को भी मैनेज करना होगा. रीफ़्रेश टोकन, कई वजहों से अमान्य हो सकते हैं. आपके ऐप्लिकेशन को सही तरीके से कार्रवाई करनी चाहिए. इसके लिए, उपयोगकर्ता के अगले लॉगिन सेशन के दौरान, उसे फिर से अनुमति देने के बजाय उसे सही तरीके से साफ़ करना चाहिए. क्रॉन जॉब जैसे ऑफ़लाइन जॉब को उन खातों की पहचान करके उन्हें रिकॉर्ड करना चाहिए, जिनके रीफ़्रेश टोकन की समय-सीमा खत्म हो गई है. Google ऐसे ऐप्लिकेशन को थ्रॉटल कर सकता है जो एपीआई सर्वर के स्थिरता को बनाए रखने के लिए लंबे समय तक ज़्यादा गड़बड़ियां जनरेट करते हैं.
एक से ज़्यादा दायरों के लिए सहमति मैनेज करना
अगर आपका ऐप्लिकेशन, OAuth 2.0 के एक से ज़्यादा दायरों के लिए अनुमति का अनुरोध करता है, तो हो सकता है कि उपयोगकर्ता उन सभी OAuth दायरों को अनुमति न दे जिन्हें आपने अनुरोध किया है. आपके ऐप्लिकेशन को सही सुविधाओं को बंद करके, दायरे न दिए जाने की समस्या को दूर करना चाहिए. उपयोगकर्ता को फिर से सूचना तब दी जा सकती है, जब उसने साफ़ तौर पर बताया हो कि उस खास सुविधा को इस्तेमाल करना है जिसके लिए स्कोप की ज़रूरत है. ऐसे मामलों में सही OAuth दायरों का अनुरोध करने के लिए, इंक्रीमेंटल अनुमति का इस्तेमाल करें.
अगर आपके ऐप्लिकेशन की बुनियादी सुविधाओं के लिए एक से ज़्यादा स्कोप ज़रूरी हैं, तो सहमति के लिए अनुरोध करने से पहले उपयोगकर्ता को इस ज़रूरी शर्त के बारे में बताएं.