ריכזנו כאן כמה הנחיות לגבי אבטחה ופרטיות למפתחים שמשתמשים ב-Google Assistant API בפרויקטים שלהם.
הרשאת API והרשאה לאפליקציות
לכל אפליקציה שמשתמשת ב-Google Assistant API חייבים להיות פרטי כניסה להרשאות שמזהים אותה לשרת האימות של Google.
בדרך כלל, פרטי הכניסה האלה מאוחסנים בקובץ client_secret_<client-id>.json שהורדתם. חשוב לשמור את הקובץ במיקום שרק לאפליקציה שלכם יש גישה אליו.
האפליקציה עשויה לבקש מהמשתמש להעניק לה גישה לחשבון Google שלו.
אם מעניקים את ההרשאה, האפליקציה יכולה לבקש אסימון גישה עבור המשתמש הזה. לאסימונים האלה יש תאריך תפוגה, אבל אפשר לרענן אותם.
אסימוני רענון לא מוגנים במכשיר נחשבים לסיכון אבטחה משמעותי. ודאו שהאפליקציה:
שומר את אסימוני הרענון במקום מאובטח.
זו דרך קלה להסיר אסימונים מהמכשיר. לדוגמה, כדאי להוסיף לחצן 'יציאה' שמנקה אסימון (אם לאפליקציה יש ממשק משתמש) או סקריפט של שורת פקודה שהמשתמש יכול לבצע.
השירות מודיע למשתמשים שהם יכולים לבטל את הרשאת הגישה לחשבון Google שלהם. אסימון הרענון יבוטל. כדי להשתמש שוב באפליקציה, המשתמשים יצטרכו לאשר מחדש את הגישה.
כשמסיימים להשתמש במכשיר באופן קבוע, יש להסיר ממנו את כל האסימונים.
[null,null,["עדכון אחרון: 2023-12-02 (שעון UTC)."],[[["The Google Assistant Library for Python is deprecated; developers should utilize the Google Assistant Service instead."],["Applications using the Google Assistant API require authorization credentials for secure identification, and developers must store these credentials securely."],["Applications should provide a mechanism for users to easily clear stored refresh tokens to enhance security and user privacy."],["Users can deauthorize application access to their Google account, revoking refresh tokens and requiring re-authorization for future use."]]],["The Google Assistant Library for Python is deprecated; use the Google Assistant Service instead. Applications using the Google Assistant API need authorization credentials, typically in a `client_secret_.json` file, which must be stored securely. User-granted access tokens expire but can be refreshed. Refresh tokens should be stored securely, with an easy way for users to clear them, such as a \"Sign out\" button or script, and users can deauthorize access via their Google account settings. Devices should be cleared of all tokens when no longer in use.\n"]]
