Ten przewodnik wyjaśnia wymagania dotyczące bezpieczeństwa dla użytkowników Google Ads i interfejsu Google Ads API, w tym obowiązkowe uwierzytelnianie za pomocą klucza dostępu podczas generowania tokenów odświeżania OAuth 2.0 oraz weryfikację dwuetapową w przypadku kont podlegających podstawowym ustawieniom zabezpieczeń konta menedżera.
Czym są klucze dostępu?
Klucz dostępu to forma uwierzytelniania wielopoziomowego, która łączy kryptografię klucza publicznego z zabezpieczeniami urządzenia (takimi jak odcisk palca, skan twarzy lub kod PIN blokady ekranu) w celu weryfikacji tożsamości właściciela konta. Klucze dostępu łączą posiadanie urządzenia („coś, co masz”, np. urządzenie mobilne lub klucz FIDO2) z wiedzą o tym, jak je odblokować („coś, co wiesz”), co stanowi wygodną alternatywę dla haseł.
Klucze dostępu są uważane za bezpieczniejsze niż standardowa weryfikacja dwuetapowa (nazywana też uwierzytelnianiem dwuskładnikowym) z tych powodów:
- Powiązanie z domeną: klucze dostępu są powiązane z konkretnymi domenami (np.
google.com) i nie będą działać w fałszywych witrynach, które podszywają się pod oryginalną witrynę (np.google-fake.com). - Powiązanie z urządzeniem: klucze dostępu są chronione przez lokalne uwierzytelnianie na urządzeniu i wymagają fizycznej obecności użytkownika, aby można było je odblokować.
- Brak danych do kradzieży: klucze dostępu wykorzystują metodę wyzwanie-odpowiedź opartą na kryptografii klucza publicznego między urządzeniem a serwerem i nie używają jednorazowych kodów dostępu ani haseł, które można przechwycić.
Skonfiguruj klucz dostępu
Aby skonfigurować klucz dostępu, wykonaj te czynności:
- Wejdź na g.co/passkeys i zaloguj się na konto Google.
- Kliknij Utwórz klucz dostępu.
- Postępuj zgodnie z instrukcjami na urządzeniu, aby utworzyć klucz dostępu.
Wymagania dotyczące kluczy dostępu
W sekcjach poniżej znajdziesz szczegółowe informacje o wymaganiach dotyczących kluczy dostępu w przypadku korzystania z Google Ads i interfejsu Google Ads API.
Wymagania Google Ads
Google Ads obsługuje logowanie się na konto za pomocą klucza dostępu. Niektórzy reklamodawcy mogą być zobowiązani do używania klucza dostępu w celu autoryzowania działań związanych z poufnymi danymi na koncie Google Ads.
Wymagania dotyczące interfejsu Google Ads API
Interfejs Google Ads API wymaga, aby wszyscy użytkownicy uwierzytelniali się za pomocą klucza dostępu podczas korzystania z procesu uwierzytelniania użytkownika w celu generowania tokenów odświeżania protokołu OAuth 2.0. Jeśli nie masz klucza dostępu, pojawi się prośba o jego utworzenie (z zastrzeżeniem, że ze względów bezpieczeństwa może wystąpić opóźnienie do 7 dni, zanim będzie można użyć nowego klucza dostępu do ukończenia procesu uwierzytelniania). Inne formy uwierzytelniania, które wykorzystują samo hasło lub standardowe mechanizmy weryfikacji dwuetapowej, takie jak czasowe hasło jednorazowe (TOTP) albo kody SMS, nie są dozwolone.
Ten wymóg nie będzie mieć wpływu na istniejące tokeny odświeżania protokołu OAuth. Będą one nadal działać jak zwykle i użytkownicy nie będą musieli ponownie autoryzować dostępu podczas uzyskiwania tokenów dostępu OAuth.
Co to jest weryfikacja dwuetapowa?
Weryfikacja dwuetapowa, nazywana też uwierzytelnianiem dwuskładnikowym, to forma uwierzytelniania wielopoziomowego, która oprócz nazwy użytkownika i hasła wymaga podania drugiego czynnika uwierzytelniania („coś, co masz”).
Weryfikacja dwuetapowa jest bezpieczniejsza niż systemy uwierzytelniania jednoskładnikowego, w których uwierzytelnianie wymaga tylko nazwy użytkownika i jednego czynnika wiedzy („co wiesz”), zwykle hasła. Ten wymagany drugi poziom weryfikacji utrudnia nieupoważnionym użytkownikom przejęcie Twojego konta. Hasła mogą zostać przejęte, ale użycie weryfikacji dwuetapowej oznacza, że samo przejęte hasło nie wystarczy do uzyskania dostępu.
Wymagania dotyczące weryfikacji dwuetapowej
W sekcjach poniżej znajdziesz szczegółowe informacje o wymaganiach dotyczących weryfikacji dwuetapowej, które musisz spełniać, aby korzystać z Google Ads i interfejsu Google Ads API.
Wymagania Google Ads
Google Ads obsługuje podstawowe ustawienia zabezpieczeń na koncie menedżera, które umożliwiają administratorowi konta menedżera wymuszanie minimalnych ustawień zabezpieczeń na wszystkich obecnych i przyszłych subkontach, na których dane konto menedżera ma uprawnienia właściciela administracyjnego. Jedna z takich zasad umożliwia administratorom kont menedżera wymaganie od użytkowników subkont należących do danego konta menedżera włączenia na swoich kontach weryfikacji dwuetapowej w celu zalogowania się.
Wymagania dotyczące interfejsu Google Ads API
Aby generować tokeny odświeżania protokołu OAuth 2.0 za pomocą procesu uwierzytelniania użytkownika, interfejs Google Ads API wymaga klucza dostępu, a nie standardowej weryfikacji dwuetapowej.
Gdy konto menedżera wymusza weryfikację dwuetapową, dotychczasowe tokeny odświeżania OAuth nadal działają bez konieczności ponownej autoryzacji użytkowników podczas uzyskiwania tokenów dostępu OAuth.
Jednak wywołania interfejsu Google Ads API na kontach, których dotyczy ten wymóg, będą kończyć się błędem TWO_STEP_VERIFICATION_NOT_ENROLLED, dopóki użytkownik nie włączy weryfikacji dwuetapowej na swoim koncie Google.