В этом руководстве описаны требования к безопасности для пользователей Google Рекламы и Google Ads API, в том числе обязательная аутентификация с помощью ключа доступа при создании токенов обновления OAuth 2.0 и двухэтапная аутентификация для аккаунтов, на которые распространяются требования к безопасности аккаунтов менеджера.
Что такое ключи доступа?
Ключ доступа – это форма многофакторной аутентификации (МФА), которая сочетает криптографию с открытым ключом и существующие средства защиты устройства (например, отпечаток пальца, распознавание лица или PIN-код для разблокировки экрана), чтобы подтвердить личность владельца аккаунта. Ключи доступа сочетают в себе владение устройством ("то, что у вас есть", например мобильное устройство или ключ FIDO2) со знанием того, как его разблокировать ("то, что вы знаете"), и являются удобной альтернативой паролям.
Ключи доступа считаются более надежными, чем стандартная двухэтапная аутентификация (также известная как двухфакторная аутентификация), по следующим причинам:
- Привязка к домену. Ключи доступа привязаны к определенным доменам (например,
google.com) и не будут работать на мошеннических сайтах, которые выдают себя за оригинальные (например,google-fake.com). - Привязка к устройству. Ключи доступа защищены локальной аутентификацией на устройстве, и для их разблокировки требуется физическое присутствие пользователя.
- Нечего красть. Ключи доступа используют криптографический метод "запрос-ответ" с открытым ключом между вашим устройством и сервером. При этом не используются одноразовые коды доступа или пароли, которые можно перехватить.
Настроить ключ доступа
Чтобы настроить ключ доступа, выполните следующие действия:
- Перейдите на страницу g.co/passkeys и войдите в аккаунт Google.
- Нажмите Создать ключ доступа.
- Следуйте инструкциям на экране.
Требования к ключам доступа
В разделах ниже подробно описаны требования к ключам доступа для использования Google Рекламы и Google Ads API.
Требования к аккаунту Google Рекламы
В Google Рекламе можно использовать ключ доступа для входа в аккаунт. Для подтверждения действий, связанных с безопасностью, некоторым рекламодателям придется использовать ключ доступа к своему аккаунту Google Рекламы.
Требования Google Ads API
Google Ads API требует, чтобы все пользователи проходили аутентификацию с помощью ключа доступа, когда они следуют процедуре аутентификации для создания токенов обновления OAuth 2.0. Если вы ещё не создали ключ доступа, вам будет предложено сделать это (с учетом задержки в целях безопасности до 7 дней, прежде чем новый ключ доступа можно будет использовать для завершения рабочего процесса аутентификации). Другие способы аутентификации, в том числе с использованием только пароля или стандартных механизмов двухэтапной аутентификации, например временного одноразового кода (TOTP) или кодов из SMS, запрещены.
Это требование не повлияет на существующие токены обновления OAuth. Они продолжат работать как обычно, и при получении токенов доступа OAuth пользователям не потребуется повторная авторизация.
Что такое двухэтапная аутентификация?
Двухэтапная аутентификация (2SV), также известная как двухфакторная аутентификация (2FA), – это форма МФА, которая добавляет второй фактор владения ("то, что у вас есть") в дополнение к имени пользователя и паролю.
Двухэтапная аутентификация надежнее однофакторной, при которой для входа в аккаунт требуется только имя пользователя и один фактор знания ("то, что вы знаете"), обычно пароль. Это усложняет несанкционированный доступ к аккаунту. Пароли могут быть раскрыты, но при использовании двухэтапной аутентификации одного раскрытого пароля недостаточно для получения доступа.
Требования к двухэтапной аутентификации
В разделах ниже подробно описаны требования к двухэтапной аутентификации для работы с Google Рекламой и Google Ads API.
Требования к аккаунту Google Рекламы
В Google Рекламе поддерживаются мандаты безопасности управляющего аккаунта, которые позволяют администратору управляющего аккаунта применять минимальные настройки безопасности ко всем текущим и будущим дочерним аккаунтам, подчиненным управляющему. Например, администраторы управляющих аккаунтов могут обязать пользователей своих дочерних аккаунтов включить двухэтапную аутентификацию для входа.
Требования Google Ads API
Чтобы генерировать токены обновления OAuth 2.0 с помощью процедуры аутентификации пользователей, Google Ads API требует использовать ключ доступа, а не стандартную двухэтапную аутентификацию.
Если в управляющем аккаунте включена обязательная двухэтапная аутентификация, существующие токены обновления OAuth продолжают работать, и пользователям не нужно повторно проходить авторизацию, чтобы получить токены доступа OAuth.
Однако вызовы Google Ads API к аккаунтам, на которые распространяется это требование, будут завершаться ошибкой TWO_STEP_VERIFICATION_NOT_ENROLLED, пока пользователь не включит двухэтапную аутентификацию в своем аккаунте Google.