In der folgenden Tabelle sind die Anmeldedaten zusammengefasst, die eine App verwalten muss. Weitere Informationen zu Anwendungstypen finden Sie in der Google Identity OAuth 2.0-Dokumentation.
| Authentifizierungs-Workflow | Anmeldedaten | Art der Qualifikation | Zweck |
|---|---|---|---|
|
JavaScript-Webanwendungen Android-Apps |
OAuth-Client-ID | Anmeldedaten für die App | Identifiziert die App während eines OAuth-Vorgangs eindeutig. |
| Zugriffstoken und Aktualisierungstoken | Nutzeranmeldedaten | Stellt die Autorisierung des Nutzers dar, mit der die App in seinem Namen auf sein Google Ads-Konto zugreifen kann. | |
|
Serverseitige Webanwendungen Desktop- und iOS-Apps TV- und Geräte-Apps |
OAuth-Client-ID und ‑Clientschlüssel | Anmeldedaten für die App | Identifiziert die App während eines OAuth-Vorgangs eindeutig. |
| Zugriffstoken und Aktualisierungstoken | Nutzeranmeldedaten | Stellt die Autorisierung des Nutzers dar, mit der die App in seinem Namen auf sein Google Ads-Konto zugreifen kann. | |
| Dienstkonten | OAuth-Dienstkontoschlüssel | Anmeldedaten für die App | Wird zum Signieren der OAuth-Anfrage verwendet. |
| Zugriffstoken des Dienstkontos | Nutzeranmeldedaten | Stellt die Autorisierung des Dienstkontos dar, wenn ein Nutzer sein Google Ads-Konto für das Dienstkonto freigibt. |
Bei der Verwaltung von Anmeldedaten für eine Google Ads API-Anwendung sind mehrere Punkte zu beachten.
Sicherer Umgang mit App-Anmeldedaten
App-Anmeldedaten beziehen sich auf Einstellungen, die für Ihre App spezifisch sind und sich nicht von Nutzer zu Nutzer unterscheiden. Behandeln Sie die Anmeldedaten Ihrer OAuth-Anwendung mit äußerster Sorgfalt, da jeder, der sie hat, die Identität Ihrer Anwendung verwenden kann, um Zugriff auf Nutzerinformationen zu erhalten. Bewahren Sie die Anmeldedaten Ihrer OAuth-Anwendung an einem sicheren Ort auf und schützen Sie sie wie ein Passwort. Verwenden Sie nach Möglichkeit einen Secrets Manager wie Google Cloud Secret Manager, um App-Anmeldedaten zu speichern. Sie dürfen Clientanmeldedaten niemals in öffentlich verfügbaren Code-Repositories speichern. Wir empfehlen dringend, sie nicht in ein Code-Repository zu übertragen.
Sicherer Umgang mit Nutzeranmeldedaten
Nutzeranmeldedaten sind OAuth-Tokens, die die Autorisierung des Nutzers darstellen. Sie werden Ihnen von Nutzern anvertraut, die Ihnen die Erlaubnis erteilen, in ihrem Namen zu handeln und auf Daten zuzugreifen – entweder direkt durch die Authentifizierung Ihrer App oder indirekt, indem sie ihr Google Ads-Konto mit Ihrem Dienstkonto teilen. Übertragen Sie Tokens niemals im Klartext und speichern Sie verschlüsselte Tokens immer im inaktiven Zustand, um im Falle einer Datenpanne eine zusätzliche Schutzebene zu bieten. Widerrufen Sie Tokens oder Dienstkontoberechtigungen, wenn Sie keinen Zugriff mehr auf das Konto eines Nutzers benötigen. Nachdem die Tokens widerrufen wurden, löschen Sie sie endgültig aus Ihrer Anwendung oder Ihrem System.
Widerruf und Ablauf von Aktualisierungstokens verarbeiten
Wenn Sie einen Nutzerauthentifizierungsablauf verwenden, beachten Sie, dass Aktualisierungstokens jederzeit ungültig werden können. Wenn Sie beispielsweise einen Authentifizierungsablauf für mehrere Nutzer verwenden, kann der Nutzer den Zugriff auf Ihre App widerrufen. Eine App, die einen Authentifizierungsablauf für einen einzelnen Nutzer verwendet, ist zwar weniger wahrscheinlich davon betroffen, aber ein manueller oder automatisierter Prozess zum Schutz von Nutzern kann das Aktualisierungstoken trotzdem löschen oder das Aktualisierungstoken kann ablaufen. Wenn deine App eine Benachrichtigung über den Token-Widerruf erfordert, um eine gute Nutzererfahrung zu bieten, musst du den Dienst Produktübergreifender Kontoschutz einbinden.
Nutzeranmeldedaten für API-Anfragen wiederverwenden
OAuth-Zugriffstokens sind kurzlebig und laufen nach einer Stunde ab. Wenn Sie eine Google Ads API-Clientbibliothek verwenden, übernimmt die Bibliothek den Ablauf und die Aktualisierung von Zugriffstokens auf threadsichere Weise. Erstellen Sie ein Google Ads API-Clientobjekt mit den entsprechenden OAuth-Anmeldedaten und verwenden Sie es während seiner gesamten Lebensdauer wieder.
Wenn Sie eine eigene Strategie für die Aktualisierung und Verwaltung von Zugriffstokens entwickeln, sollten Sie den Ablauf der Zugriffstokens im Blick behalten und Tokens wiederverwenden, solange sie gültig sind. Wenn Sie eine Tokenaktualisierung anfordern, gibt der Autorisierungsserver ein neues Zugriffstoken zusammen mit der verbleibenden Lebensdauer in Sekunden (expires_in) zurück. Wir empfehlen, das Zugriffstoken proaktiv zu aktualisieren, wenn weniger als 5 Minuten bis zum Ablauf verbleiben.