Questa guida spiega come garantire che la tua applicazione e le tue credenziali utente siano sicure.
Completare la verifica dell'app OAuth
L'ambito OAuth 2.0 per l'API Google Ads è classificato come ambito limitato, il che significa che devi completare la procedura di verifica dell'applicazione OAuth prima di mettere in produzione l'applicazione. Per scoprire di più, consulta la documentazione di Google Identity e l'articolo del Centro assistenza.
Proteggi le credenziali dell'applicazione
Devi proteggere l'ID client OAuth 2.0 e il client secret della tua applicazione. Queste credenziali consentono agli utenti e a Google di identificare la tua applicazione, pertanto devono essere gestite con attenzione. Dovresti trattare le credenziali dell'applicazione come password. Non condividerli utilizzando meccanismi non sicuri, come la pubblicazione su forum pubblici, l'invio di file di configurazione contenenti queste credenziali in allegati email, l'hardcoded delle credenziali o il commit delle credenziali in un repository di codice. Ti consigliamo di utilizzare un gestore di secret come Google Cloud Secret Manager o AWS Secret Manager, se possibile.
Se i client secret OAuth 2.0 sono compromessi, puoi reimpostarli. È anche possibile reimpostare un token sviluppatore.
Proteggere il token sviluppatore
Il token sviluppatore ti consente di effettuare chiamate API a un account, ma non ha limitazioni sugli account con cui può essere utilizzato per effettuare le chiamate. Di conseguenza, un token sviluppatore compromesso può essere utilizzato da qualcun altro per effettuare chiamate attribuite alla tua applicazione. Per evitare questo scenario, adotta queste misure preventive:
Tratta il tuo token sviluppatore come una password. Non condividerlo utilizzando meccanismi non sicuri, come la pubblicazione su forum pubblici o l'invio di file di configurazione contenenti i token sviluppatore sotto forma di allegato email. Ti consigliamo di utilizzare un secret manager come Google Cloud Secret Manager o AWS Secret Manager quando possibile.
Se il tuo token sviluppatore è compromesso, devi reimpostarlo.
- Accedi all'account amministratore Google Ads che hai utilizzato per richiedere l'API Google Ads.
- Vai a Strumenti e impostazioni > Centro API.
- Fai clic sulla freccia menu a discesa accanto a Token sviluppatore.
- Fai clic sul link Reimposta token. Il tuo vecchio token sviluppatore dovrebbe smettere di funzionare immediatamente.
- Aggiorna la configurazione di produzione della tua applicazione per utilizzare il nuovo token sviluppatore.
Proteggere gli account di servizio
Gli account di servizio richiedono la simulazione dell'identità a livello di dominio per funzionare correttamente con l'API Google Ads. Inoltre, devi essere un cliente di Google Workspace per configurare il furto d'identità a livello di dominio. Per questi motivi, sconsigliamo di utilizzare gli account di servizio quando si effettuano chiamate API Google Ads. Tuttavia, se decidi di utilizzare gli account di servizio, dovresti proteggerli come segue:
Tratta la chiave dell'account di servizio e il file JSON come password. Proteggile tramite un Secret Manager come Google Cloud Secret Manager o AWS Secret Manager, se possibile.
Segui le best practice aggiuntive di Google Cloud per proteggere e gestire i tuoi account di servizio.
Proteggi i token utente
Se la tua app autorizza più utenti, devi adottare ulteriori misure per proteggere i token di aggiornamento e di accesso degli utenti. Archivia i token in modo sicuro at-rest e non trasmetterli mai in testo normale. Usa un sistema di archiviazione sicuro appropriato per la tua piattaforma.
Gestire la revoca e la scadenza del token di aggiornamento
Se la tua app richiede il token di aggiornamento OAuth 2.0 nell'ambito dell'autorizzazione, devi gestire anche l'annullamento della convalida o la scadenza. I token di aggiornamento potrebbero essere invalidati per vari motivi e l'applicazione dovrebbe rispondere correttamente autorizzando nuovamente l'utente durante la sessione di accesso successiva o pulindo i dati in base alle necessità. I job offline, come i cron job, dovrebbero rilevare e registrare gli account i cui token di aggiornamento sono scaduti, anziché continuare a effettuare richieste non riuscite. Google potrebbe limitare le applicazioni che generano livelli elevati di errori in un periodo di tempo prolungato per mantenere la stabilità dei server API.
Gestisci il consenso per più ambiti
Se la tua app richiede l'autorizzazione per più ambiti OAuth 2.0, l'utente potrebbe non concedere tutti gli ambiti OAuth richiesti. L'app deve gestire la negazione degli ambiti disattivando le funzionalità pertinenti. Puoi chiedere all'utente di nuovo solo dopo che ha indicato chiaramente l'intenzione di utilizzare la funzionalità specifica che richiede l'ambito. Utilizza l'autorizzazione incrementale per richiedere ambiti OAuth appropriati in questi casi.
Se le funzionalità di base dell'app richiedono più ambiti, spiega questo requisito all'utente prima di richiedere il consenso.