Ce guide explique les exigences de sécurité pour les utilisateurs de Google Ads et de l'API Google Ads, y compris l'authentification par clé d'accès obligatoire lors de la génération de jetons d'actualisation OAuth 2.0 et la validation en deux étapes pour les comptes soumis aux obligations de sécurité des comptes administrateur.
Que sont les clés d'accès ?
Une clé d'accès est une forme d'authentification multifacteur (MFA) qui combine la cryptographie à clé publique avec la sécurité existante de votre appareil (comme votre empreinte digitale, la reconnaissance faciale ou le code de verrouillage de l'écran) pour valider l'identité du titulaire d'un compte. Les clés d'accès combinent la possession de votre appareil ("ce que vous avez", par exemple votre appareil mobile ou une clé FIDO2) avec la connaissance de la façon de déverrouiller l'appareil ("ce que vous savez"), offrant ainsi une alternative pratique aux mots de passe.
Les clés d'accès sont considérées comme plus sécurisées que la validation en deux étapes standard (également appelée authentification à deux facteurs ou A2F) pour les raisons suivantes :
- Liées à un domaine : les clés d'accès sont liées à des domaines spécifiques (par exemple,
google.com) et ne fonctionnent pas sur les sites Web frauduleux qui usurpent l'identité du site Web d'origine (par exemple,google-fake.com). - Liées à l'appareil : les clés d'accès sont protégées par l'authentification locale de votre appareil et nécessitent la présence physique de l'utilisateur pour être déverrouillées.
- Aucun secret à voler : les clés d'accès utilisent une méthode de défi-réponse cryptographique à clé publique entre votre appareil et le serveur. Elles n'utilisent pas de codes secrets à usage unique ni de mots de passe pouvant être interceptés.
Configurer une clé d'accès
Pour configurer une clé d'accès, procédez comme suit :
- Accédez à g.co/passkeys et connectez-vous à votre compte Google.
- Cliquez sur Create a passkey (Créer une clé d'accès).
- Suivez les instructions sur votre appareil pour créer la clé d'accès.
Exigences concernant les clés d'accès
Les sections suivantes décrivent les exigences liées aux clés d'accès pour utiliser Google Ads et l'API Google Ads.
Conditions requises pour Google Ads
Google Ads vous permet d'utiliser une clé d'accès pour vous connecter à votre compte. Certains annonceurs peuvent être tenus d'utiliser une clé d'accès pour autoriser les actions sensibles dans leur compte Google Ads.
Exigences concernant l'API Google Ads
L'API Google Ads exige que tous les utilisateurs s'authentifient avec une clé d'accès lorsqu'ils suivent le workflow par authentification de l'utilisateur pour générer des jetons d'actualisation OAuth 2.0. Si vous n'avez pas créé de clé d'accès, vous êtes invité à en créer une (sous réserve d'un délai de sécurité pouvant aller jusqu'à sept jours avant que la nouvelle clé d'accès puisse être utilisée pour terminer le workflow d'authentification). Les autres formes d'authentification qui utilisent uniquement un mot de passe ou des mécanismes de validation en deux étapes standards, tels que les mots de passe à usage unique basés sur le temps (TOTP) ou les codes par SMS, ne sont pas autorisées.
Les jetons d'actualisation OAuth existants ne sont pas concernés par cette exigence. Ils continuent de fonctionner comme d'habitude, et les utilisateurs ne sont pas invités à demander une nouvelle autorisation lorsqu'ils obtiennent des jetons d'accès OAuth.
En quoi consiste la validation en deux étapes ?
La validation en deux étapes, également appelée authentification à deux facteurs (A2F), est une forme de MFA qui ajoute un deuxième facteur de possession ("ce que vous avez") en plus d'un nom d'utilisateur et d'un mot de passe.
La validation en deux étapes est plus sécurisée que les systèmes d'authentification à facteur unique, où l'authentification n'utilise qu'un nom d'utilisateur et un seul facteur de connaissance ("ce que vous savez"), généralement un mot de passe. Il devient ainsi plus difficile pour les utilisateurs non autorisés de pirater un compte. Les mots de passe peuvent être compromis, mais l'utilisation de la validation en deux étapes signifie qu'un mot de passe compromis ne suffit pas à lui seul pour obtenir l'accès.
Éléments nécessaires à la validation en deux étapes
Les sections suivantes décrivent les exigences de validation en deux étapes pour utiliser Google Ads et l'API Google Ads.
Conditions requises pour Google Ads
Google Ads accepte les obligations de sécurité du compte administrateur, qui permettent à un administrateur de compte administrateur d'appliquer des paramètres de sécurité minimaux à tous les sous-comptes actuels et futurs dont un compte administrateur est propriétaire et administrateur. L'une de ces règles permet aux administrateurs de comptes administrateur d'exiger que les utilisateurs des sous-comptes dont ils sont propriétaires activent la validation en deux étapes dans leurs comptes pour se connecter.
Exigences concernant l'API Google Ads
Pour générer des jetons d'actualisation OAuth 2.0 à l'aide du workflow par authentification de l'utilisateur, l'API Google Ads nécessite une clé d'accès plutôt que la validation en deux étapes standard.
Lorsqu'un compte administrateur applique une obligation de validation en deux étapes, les jetons d'actualisation OAuth existants continuent de fonctionner sans inviter les utilisateurs à demander une nouvelle autorisation lorsqu'ils obtiennent des jetons d'accès OAuth.
Toutefois, les appels d'API Google Ads vers des comptes soumis à cette obligation échouent avec une erreur TWO_STEP_VERIFICATION_NOT_ENROLLED tant que l'utilisateur n'a pas activé la validation en deux étapes dans son compte Google.