আপনার অ্যাপ্লিকেশন ও ব্যবহারকারীর ক্রেডেনশিয়াল কীভাবে সুরক্ষিত রাখবেন তা এই নির্দেশিকা থেকে জানতে পারবেন।
OAuth অ্যাপ যাচাইকরণ সম্পূর্ণ করুন
Google Ads API-এর জন্য OAuth 2.0 স্কোপকে সীমাবদ্ধ স্কোপ হিসেবে শ্রেণীবদ্ধ করা হয়েছে, যার অর্থ হল আপনার অ্যাপ্লিকেশন প্রোডাকশনে নিয়ে যাওয়ার আগে আপনাকে OAuth অ্যাপ যাচাইকরণ প্রসেস সম্পূর্ণ করতে হবে। আরও জানতে Google Identity ডকুমেন্টেশন, যাচাই না করা অ্যাপ সম্পর্কে সহায়তা কেন্দ্র আর্টিকেল এবং OAuth সম্মতি স্ক্রিন সেট-আপ করা সংক্রান্ত ডকুমেন্ট দেখুন।
অ্যাপ্লিকেশন ক্রেডেনশিয়াল সুরক্ষিত করা
আপনার অ্যাপ্লিকেশনের OAuth 2.0 ক্লায়েন্ট আইডি ও ক্লায়েন্ট সিক্রেট সুরক্ষিত রাখতে হবে। এইসব ক্রেডেনশিয়াল আপনার ব্যবহারকারী ও Google-কে আপনার অ্যাপ্লিকেশন শনাক্ত করতে সাহায্য করে এবং তাই এগুলি সাবধানে ব্যবহার করা উচিত। এইসব অ্যাপ্লিকেশন ক্রেডেনশিয়ালকে পাসওয়ার্ডের মতো বিবেচনা করা উচিত। পাবলিক ফোরামে পোস্ট করা, ইমেল অ্যাটাচমেন্টে এইসব ক্রেডেনশিয়াল সহ কনফিগারেশন ফাইল পাঠানো, ক্রেডেনশিয়াল হার্ড কোড করা বা কোড রিপোজিটরিতে সেগুলি কমিট করার মতো অসুরক্ষিত পদ্ধতি ব্যবহার করে সেগুলি শেয়ার করবেন না। সম্ভব হলে, আমরা Google Cloud Secret Manager বা AWS Secrets Manager-এর মতো সিক্রেট ম্যানেজার ব্যবহার করার সাজেশন দিই।
আপনার OAuth 2.0 ক্লায়েন্ট সিক্রেট যদি কম্প্রোমাইজ হয়ে যায়, তাহলে আপনি সেগুলি রিসেট করতে পারবেন।
পরিষেবা অ্যাকাউন্ট সুরক্ষিত করা
আপনি পরিষেবা অ্যাকাউন্ট ব্যবহার করলে, নিম্নলিখিত উপায়ে সেগুলি সুরক্ষিত করুন:
আপনার পরিষেবা অ্যাকাউন্ট কী এবং JSON ফাইলকে পাসওয়ার্ড হিসেবে বিবেচনা করুন। সম্ভব হলে, Google Cloud Secret Manager বা AWS Secrets Manager-এর মতো সিক্রেট ম্যানেজার ব্যবহার করে সেগুলি সুরক্ষিত করুন।
আপনার পরিষেবা অ্যাকাউন্ট সুরক্ষিত ও ম্যানেজ করতে Google Cloud-এর অতিরিক্ত পেশাদার পদ্ধতি অনুসরণ করুন।
ব্যবহারকারীর টোকেন সুরক্ষিত করা
আপনার অ্যাপ একাধিক ব্যবহারকারীকে অনুমতি দিলে, ব্যবহারকারীর রিফ্রেশ ও অ্যাক্সেস টোকেন সুরক্ষিত রাখতে আপনাকে অতিরিক্ত পদক্ষেপ নিতে হবে। টোকেনগুলি নিরাপদে স্টোর করুন এবং সেগুলি কখনই প্লেন টেক্সটে ট্রান্সমিট করবেন না। আপনার প্ল্যাটফর্মের জন্য উপযুক্ত একটি সুরক্ষিত স্টোরেজ সিস্টেম ব্যবহার করুন।
রিফ্রেশ টোকেন প্রত্যাহার ও মেয়াদ শেষ হওয়া ম্যানেজ করা
আপনার অ্যাপ অনুমোদনের অংশ হিসেবে OAuth 2.0 রিফ্রেশ টোকেনের অনুরোধ করলে, আপনাকে অবশ্যই এটির অবৈধকরণ বা মেয়াদ শেষ হওয়ার বিষয়টিও ম্যানেজ করতে হবে। রিফ্রেশ টোকেন বিভিন্ন কারণে বাতিল করা হতে পারে এবং আপনার অ্যাপ্লিকেশনকে পরবর্তী লগ-ইন সেশনে ব্যবহারকারীকে আবার অনুমোদন করে অথবা প্রয়োজন অনুযায়ী তার ডেটা মুছে দিয়ে যথাযথভাবে উত্তর দিতে হবে। ক্রন জবের মতো অফলাইন জব, ব্যর্থ অনুরোধ করা চালিয়ে যাওয়ার পরিবর্তে, যেসব অ্যাকাউন্টের রিফ্রেশ টোকেনের মেয়াদ শেষ হয়ে গেছে, সেগুলি শনাক্ত ও রেকর্ড করা উচিত। API সার্ভারের স্থায়িত্ব বজায় রাখতে, Google সেইসব অ্যাপ্লিকেশন থ্রটল করতে পারে যেগুলি দীর্ঘ সময় ধরে অনেক বেশি পরিমাণে সমস্যা তৈরি করে।
একাধিক স্কোপের জন্য সম্মতি ম্যানেজ করা
আপনার অ্যাপ একাধিক OAuth 2.0 স্কোপের জন্য অনুমোদনের অনুরোধ করলে, ব্যবহারকারী আপনার অনুরোধ করা সব OAuth স্কোপের জন্য অনুমতি নাও দিতে পারেন। আপনার অ্যাপকে প্রাসঙ্গিক ফিচার বন্ধ করে দিয়ে স্কোপের অস্বীকৃতি ম্যানেজ করতে হবে। ব্যবহারকারীকে আপনি আবার তখনই প্রম্পট করতে পারবেন যখন তিনি স্পষ্টভাবে জানাবেন যে তিনি সেই নির্দিষ্ট ফিচার ব্যবহার করতে চান যার জন্য স্কোপ প্রয়োজন। এই ধরনের ক্ষেত্রে উপযুক্ত OAuth স্কোপের অনুরোধ করতে ইনক্রিমেন্টাল অনুমোদন ব্যবহার করুন।
আপনার অ্যাপের প্রাথমিক ফিচারের জন্য একাধিক স্কোপের প্রয়োজন হলে, সম্মতি চাওয়ার আগে ব্যবহারকারীকে এই প্রয়োজনীয়তা ব্যাখ্যা করুন।