يوضّح هذا الدليل كيفية التأكّد من أمان تطبيقك وبيانات اعتماد المستخدمين.
إكمال عملية التحقّق من تطبيق OAuth
يتم تصنيف نطاق OAuth 2.0 في Google Ads API على أنّه نطاق محظور، ما يعني أنّه عليك إكمال عملية التحقّق من تطبيق OAuth قبل إنتاج تطبيقك. يُرجى الاطّلاع على مستندات Google Identity ومقالة مركز المساعدة حول التطبيقات التي لم يتم التحقّق منها والمستندات حول إعداد شاشة طلب الموافقة في OAuth لمزيد من المعلومات.
تأمين بيانات اعتماد التطبيق
يجب تأمين معرّف عميل OAuth 2.0 وسر العميل الخاصين بتطبيقك. تساعد بيانات الاعتماد هذه المستخدمين وGoogle في التعرّف على تطبيقك، لذا يجب التعامل معها بحذر. يجب التعامل مع بيانات اعتماد التطبيق هذه مثل كلمات المرور. لا تشاركها باستخدام آليات غير آمنة، مثل نشرها في المنتديات العامة أو إرسال ملفات الإعداد التي تحتوي على بيانات الاعتماد هذه في مرفقات البريد الإلكتروني أو ترميز بيانات الاعتماد بشكل ثابت أو إرسالها إلى مستودع الرموز البرمجية. ننصحك باستخدام مدير مفاتيح سرية مثل Google Cloud Secret Manager أو AWS Secrets Manager عندما يكون ذلك ممكنًا.
إذا تم اختراق أسرار عميل OAuth 2.0، يمكنك إعادة ضبطها.
تأمين حسابات الخدمة
إذا كنت تستخدم حسابات الخدمة، يمكنك تأمينها على النحو التالي:
يجب التعامل مع مفتاح حساب الخدمة وملف JSON ككلمات مرور. يجب تأمينها باستخدام مدير مفاتيح سرية مثل Google Cloud Secret Manager أو AWS Secrets Manager إن أمكن.
اتّبِع أفضل الممارسات الإضافية من Google Cloud لتأمين حسابات الخدمة وإدارتها.
تأمين الرموز المميّزة للمستخدمين
إذا كان تطبيقك يمنح الإذن لتعدُّد المستخدمين، عليك اتّخاذ خطوات إضافية لحماية الرموز المميزة لإعادة التحميل ورموز الدخول الخاصة بالمستخدمين. يجب تخزين الرموز المميّزة بشكل آمن في وضع عدم النشاط وعدم نقلها مطلقًا كنص عادي. استخدِم نظام تخزين آمنًا مناسبًا لنظامك الأساسي.
التعامل مع إبطال الرمز المميّز لإعادة التحميل وانتهاء صلاحيته
إذا كان تطبيقك يطلب رمزًا مميزًا لإعادة التحميل في OAuth 2.0 كجزء من التفويض، عليك أيضًا التعامل مع إبطاله أو انتهاء صلاحيته. يمكن أن يتم إبطال الرموز المميزة لإعادة التحميل لأسباب مختلفة، ويجب أن يستجيب تطبيقك بشكل مناسب إما من خلال إعادة تفويض المستخدم خلال جلسة تسجيل الدخول التالية أو تنظيف بياناته حسب الاقتضاء. يجب أن ترصد المهام التي يتم تنفيذها بلا إنترنت، مثل مهام cron، الحسابات التي انتهت صلاحية رموزها المميزة لإعادة التحميل وتسجّلها، بدلاً من مواصلة إرسال طلبات غير ناجحة. قد تقيّد Google التطبيقات التي تنشئ مستويات عالية من الأخطاء على مدار فترة زمنية طويلة للحفاظ على استقرار خوادم واجهة برمجة التطبيقات.
إدارة الموافقة على نطاقات متعددة
إذا طلب تطبيقك تفويضًا لنطاقات OAuth 2.0 متعددة، قد لا يمنح المستخدم جميع نطاقات OAuth التي طلبتها. يجب أن يتعامل تطبيقك مع رفض النطاقات من خلال إيقاف الميزات ذات الصلة. يمكنك مطالبة المستخدم مرة أخرى فقط بعد أن يشير بوضوح إلى نيته استخدام الميزة المحددة التي تتطلب النطاق. استخدِم التفويض المتزايد لطلب نطاقات OAuth المناسبة في هذه الحالات.
إذا كانت الميزات الأساسية لتطبيقك تتطلّب نطاقات متعددة، يجب شرح هذا الشرط للمستخدم قبل طلب موافقته.