Hướng dẫn này giải thích các yêu cầu bảo mật đối với người dùng Google Ads và Google Ads API, bao gồm cả việc bắt buộc xác thực bằng khoá truy cập khi tạo mã làm mới OAuth 2.0 và xác minh 2 bước (2SV) đối với những tài khoản phải tuân thủ chỉ thị bảo mật của tài khoản người quản lý.
Khoá truy cập là gì?
Khoá truy cập là một hình thức xác thực đa yếu tố (MFA) kết hợp mật mã học khoá công khai với tính năng bảo mật hiện có trên thiết bị (chẳng hạn như vân tay, phương thức quét khuôn mặt hoặc mã PIN khoá màn hình) để xác minh danh tính của chủ sở hữu tài khoản. Khoá truy cập kết hợp quyền sở hữu thiết bị ("những gì bạn có", ví dụ: thiết bị di động hoặc khoá FIDO2) với kiến thức về cách mở khoá thiết bị ("những gì bạn biết"), mang đến một giải pháp thay thế thuận tiện cho mật khẩu.
Khoá truy cập được coi là an toàn hơn so với phương thức 2SV tiêu chuẩn (còn gọi là xác thực 2 yếu tố hoặc 2FA) vì những lý do sau:
- Gắn với miền: Khoá truy cập được gắn với các miền cụ thể (ví dụ:
google.com) và sẽ không hoạt động trên các trang web lừa đảo mạo danh trang web gốc (ví dụ:google-fake.com). - Gắn với thiết bị: Khoá truy cập được khoá bằng phương thức xác thực cục bộ của thiết bị và yêu cầu người dùng phải có mặt để mở khoá.
- Không có thông tin bí mật để đánh cắp: Khoá truy cập sử dụng phương thức phản hồi thử thách mật mã hoá khoá công khai giữa thiết bị của bạn và máy chủ, đồng thời không sử dụng mật mã một lần hoặc mật khẩu có thể bị chặn.
Thiết lập khoá truy cập
Để thiết lập khoá truy cập, hãy làm theo các bước sau:
- Truy cập vào g.co/passkeys rồi đăng nhập vào Tài khoản Google của bạn.
- Nhấp vào Tạo khoá truy cập.
- Làm theo lời nhắc trên thiết bị để tạo khoá truy cập.
Yêu cầu về khoá truy cập
Các phần sau đây trình bày chi tiết các yêu cầu về khoá truy cập khi sử dụng Google Ads và Google Ads API.
Yêu cầu về Google Ads
Google Ads hỗ trợ việc sử dụng khoá truy cập để đăng nhập vào tài khoản của bạn. Một số nhà quảng cáo có thể phải sử dụng khoá truy cập để cho phép thực hiện các hành động nhạy cảm trong tài khoản Google Ads của họ.
Yêu cầu về API Google Ads
Google Ads API yêu cầu tất cả người dùng phải xác thực bằng khoá truy cập khi làm theo quy trình xác thực người dùng để tạo mã làm mới OAuth 2.0. Nếu chưa tạo khoá truy cập, bạn sẽ được nhắc tạo một khoá truy cập (có thể phải chờ thời gian chờ xác minh bảo mật tối đa 7 ngày thì mới có thể dùng khoá truy cập mới để hoàn tất quy trình xác thực). Các hình thức xác thực khác chỉ sử dụng mật khẩu hoặc cơ chế 2SV tiêu chuẩn như Mật khẩu một lần theo thời gian yêu cầu (TOTP) hoặc mã qua SMS đều không được chấp nhận.
Các mã làm mới OAuth hiện có sẽ không bị ảnh hưởng bởi yêu cầu này. Các mã này tiếp tục hoạt động như bình thường và người dùng không được nhắc uỷ quyền lại khi lấy mã truy cập OAuth.
Xác minh 2 bước là gì?
Xác minh 2 bước (2SV), còn gọi là xác thực 2 yếu tố (2FA), là một hình thức MFA bổ sung yếu tố sở hữu thứ hai ("thứ bạn có") ngoài tên người dùng và mật khẩu.
Tính năng 2SV an toàn hơn so với các hệ thống xác thực một yếu tố, trong đó quy trình xác thực chỉ sử dụng tên người dùng và một yếu tố kiến thức ("thông tin bạn biết"), thường là mật khẩu. Việc yêu cầu yếu tố thứ hai sẽ khiến người dùng trái phép khó xâm nhập vào tài khoản của bạn hơn. Mật khẩu có thể bị lộ, nhưng việc sử dụng tính năng 2SV có nghĩa là chỉ mật khẩu bị lộ thôi thì chưa đủ để truy cập.
Yêu cầu xác minh 2 bước
Các phần sau đây trình bày chi tiết các yêu cầu về tính năng xác minh 2 bước khi sử dụng Google Ads và API Google Ads.
Yêu cầu về Google Ads
Google Ads hỗ trợ chỉ thị bảo mật ở cấp tài khoản người quản lý, cho phép quản trị viên của tài khoản người quản lý thực thi chế độ cài đặt bảo mật tối thiểu trên tất cả các tài khoản phụ hiện tại và trong tương lai mà tài khoản người quản lý có quyền sở hữu quản trị. Một trong những chính sách như vậy cho phép quản trị viên của tài khoản người quản lý yêu cầu người dùng của tài khoản phụ thuộc quyền sở hữu của tài khoản người quản lý bật tính năng xác minh 2 bước trên tài khoản của họ để đăng nhập.
Yêu cầu về API Google Ads
Để tạo mã làm mới OAuth 2.0 bằng quy trình xác thực người dùng, Google Ads API yêu cầu bạn phải có khoá truy cập thay vì quy trình xác minh 2 bước thông thường.
Khi tài khoản người quản lý thực thi quy định bắt buộc về xác minh 2 bước, các mã làm mới OAuth hiện có sẽ tiếp tục hoạt động mà không yêu cầu người dùng uỷ quyền lại khi lấy mã truy cập OAuth.
Tuy nhiên, các lệnh gọi Google Ads API đến những tài khoản thuộc diện bắt buộc sẽ không thành công và trả về lỗi
TWO_STEP_VERIFICATION_NOT_ENROLLED cho đến khi người dùng
bật tính năng xác minh 2 bước trong Tài khoản Google của họ.