In diesem Leitfaden erfahren Sie, wie Sie Ihre Anwendung und Nutzeranmeldedaten schützen.
OAuth-App-Überprüfung abschließen
Der OAuth 2.0-Bereich für die Google Ads API ist als eingeschränkter Bereich klassifiziert. Das bedeutet, dass Sie den OAuth-Prozess zur App-Überprüfung abschließen sollten, bevor Sie Ihre Anwendung in die Produktion überführen. Weitere Informationen finden Sie in der Google Identity-Dokumentation, im Hilfeartikel zu nicht bestätigten Apps und in der Dokumentation zum Einrichten des OAuth-Zustimmungsbildschirms.
Anwendungsanmeldedaten sichern
Sie sollten die OAuth 2.0-Client-ID und den Clientschlüssel Ihrer Anwendung schützen. Anhand dieser Anmeldedaten können Nutzer und Google Ihre Anwendung identifizieren. Sie sollten daher sorgfältig behandelt werden. Sie sollten diese Anmeldedaten wie Passwörter behandeln. Geben Sie sie nicht über unsichere Mechanismen weiter, z. B. durch Posten in öffentlichen Foren, Senden von Konfigurationsdateien mit diesen Anmeldedaten in E-Mail-Anhängen, Hartcodieren der Anmeldedaten oder Übergeben an ein Code-Repository. Wir empfehlen, nach Möglichkeit einen Secret Manager wie Google Cloud Secret Manager oder AWS Secrets Manager zu verwenden.
Wenn Ihre OAuth 2.0-Clientschlüssel manipuliert wurden, können Sie sie zurücksetzen.
Dienstkonten sichern
Wenn Sie Dienstkonten verwenden, sichern Sie sie so:
Behandeln Sie Ihren Dienstkontoschlüssel und die JSON-Datei wie Passwörter. Sichern Sie sie nach Möglichkeit mit einem Secret Manager wie Google Cloud Secret Manager oder AWS Secrets Manager.
Folgen Sie den zusätzlichen Best Practices von Google Cloud, um Ihre Dienstkonten zu schützen und zu verwalten.
Nutzer-Tokens schützen
Wenn Ihre App mehrere Nutzer autorisiert, sollten Sie zusätzliche Maßnahmen ergreifen, um die Aktualisierungs- und Zugriffstokens der Nutzer zu schützen. Speichern Sie die Tokens sicher im Ruhezustand und übertragen Sie sie nie im Nur-Text-Format. Verwenden Sie ein sicheres Speichersystem, das für Ihre Plattform geeignet ist.
Widerruf und Ablauf von Aktualisierungstokens verarbeiten
Wenn Ihre Anwendung im Rahmen der Autorisierung ein OAuth 2.0-Aktualisierungstoken anfordert, müssen Sie auch die Ungültigkeit oder den Ablauf des Tokens berücksichtigen. Aktualisierungstokens können aus verschiedenen Gründen ungültig werden. Ihre Anwendung sollte darauf angemessen reagieren, indem sie den Nutzer bei der nächsten Anmeldung noch einmal autorisiert oder seine Daten entsprechend bereinigt. Offline-Jobs wie Cronjobs sollten Konten erkennen und aufzeichnen, deren Aktualisierungstokens abgelaufen sind, anstatt weiterhin fehlgeschlagene Anfragen zu senden. Google kann Anwendungen drosseln, die über einen längeren Zeitraum viele Fehler generieren, um die Stabilität der API-Server aufrechtzuerhalten.
Einwilligung für mehrere Bereiche verwalten
Wenn Ihre App die Autorisierung für mehrere OAuth 2.0-Bereiche anfordert, gewährt der Nutzer möglicherweise nicht alle angeforderten OAuth-Bereiche. Ihre App sollte die Ablehnung von Bereichen verarbeiten, indem die entsprechenden Funktionen deaktiviert werden. Sie können den Nutzer erst dann wieder auffordern, wenn er eindeutig die Absicht bekundet hat, die spezifische Funktion zu verwenden, für die der Bereich erforderlich ist. Verwenden Sie in solchen Fällen die inkrementelle Autorisierung, um die entsprechenden OAuth-Bereiche anzufordern.
Wenn die grundlegenden Funktionen Ihrer App mehrere Bereiche erfordern, erklären Sie dem Nutzer diese Anforderung, bevor Sie ihn um seine Einwilligung bitten.