این راهنما نشان می‌دهد که چگونه مطمئن شوید برنامه و اطلاعات کاربری کاربر شما ایمن هستند.
تکمیل درستی‌سنجی برنامه OAuth
دامنه OAuth 2.0 برای Google Ads API به‌عنوان دامنه محدودشده طبقه‌بندی می‌شود، یعنی باید فرایند درستی‌سنجی برنامه OAuth را قبل‌از تولیدی کردن برنامه‌تان تکمیل کنید. برای کسب اطلاعات بیشتر، به اسناد Google Identity، مقاله «مرکز راهنمایی» درباره برنامه‌های تأییدنشده، و اسناد مربوط به راه‌اندازی صفحه رضایت OAuth مراجعه کنید.
ایمن کردن اطلاعات اعتباری برنامه
باید شناسه کارخواه و رمز کارخواه OAuth 2.0 برنامه‌تان را ایمن کنید. این اطلاعات اعتباری به کاربران شما و Google کمک می‌کند برنامه‌تان را شناسایی کنند و بنابراین باید با دقت از آن‌ها استفاده شود. باید با این اعتبارنامه‌های برنامه مثل گذرواژه رفتار کنید. آن‌ها را بااستفاده از سازوکارهای ناامن مثل پست کردن در تالارهای گفتمان عمومی، ارسال فایل‌های پیکربندی حاوی این اطلاعات اعتباری در پیوست‌های ایمیل، کدنویسی ثابت اطلاعات اعتباری، یا ثبت آن‌ها در مخزن کد هم‌رسانی نکنید. توصیه می‌کنیم درصورت امکان از یک مدیر رمز مانند Google Cloud Secret Manager یا AWS Secrets Manager استفاده کنید.
اگر رمزهای کارخواه OAuth 2.0 شما لو رفته است، می‌توانید آن‌ها را بازنشانی کنید.
ایمن کردن حساب‌های سرویس
اگر از حساب‌های سرویس استفاده می‌کنید، آن‌ها را به‌صورت زیر ایمن کنید:
با کلید حساب خدمات و فایل JSON خود مانند گذرواژه رفتار کنید. درصورت امکان، آن‌ها را بااستفاده از مدیر رمزهایی مثل Google Cloud Secret Manager یا AWS Secrets Manager ایمن کنید.
روال‌های مطلوب اضافی را از Google Cloud برای ایمن‌سازی و مدیریت حساب‌های سرویس خود دنبال کنید.
ایمن کردن توکن‌های کاربر
اگر برنامه‌تان چندین کاربر را مجاز می‌کند، باید اقدامات بیشتری برای محافظت از کد دسترسی و کد بازآوری کاربران انجام دهید. نشان‌ها را به‌طور ایمن در حالت سکون ذخیره کنید و هرگز آن‌ها را به‌صورت نوشتار ساده ارسال نکنید. از سیستم ذخیره‌سازی ایمن مناسب برای پلاتفرم خود استفاده کنید.
رسیدگی به ابطال و انقضای ژتون بازآوری
اگر برنامه‌تان به‌عنوان بخشی از مجوز، ژتون بازآوری OAuth 2.0 درخواست می‌کند، باید باطل شدن یا انقضای آن را نیز مدیریت کنید. ژتون‌های بازآوری ممکن است به دلایل مختلفی نامعتبر شوند، و برنامه شما باید با صدور مجدد مجوز برای کاربر درطول جلسه ورود به سیستم بعدی او، یا پاک کردن داده‌های او به‌طور مناسب، به‌درستی پاسخ دهد. کارهای آفلاین، مانند کارهای cron، باید حساب‌هایی را که ژتون بازآوری آن‌ها منقضی شده است شناسایی و ثبت کنند، به‌جای اینکه به ارسال درخواست‌های ناموفق ادامه دهند. Google ممکن است برنامه‌هایی را که در یک دوره زمانی پایدار سطح بالایی از خطا ایجاد می‌کنند برای حفظ پایداری سرورهای میانای برنامه‌سازی کاربردی محدود کند.
مدیریت رضایت برای چند دامنه
اگر برنامه‌تان برای چند دامنه OAuth 2.0 درخواست مجوز کند، ممکن است کاربر همه دامنه‌های OAuth درخواستی شما را اعطا نکند. برنامه شما باید با غیرفعال کردن ویژگی‌های مربوطه، رد کردن دامنه‌ها را مدیریت کند. فقط پس‌از اینکه کاربر به‌وضوح قصد خود را برای استفاده از ویژگی خاصی که به آن گستره نیاز دارد نشان داد، می‌توانید دوباره از او درخواست کنید. در چنین مواردی، از مجوز افزایشی برای درخواست کردن دامنه‌های OAuth مناسب استفاده کنید.
اگر ویژگی‌های اصلی برنامه‌تان به چندین گستره نیاز دارد، این الزام را قبل‌از درخواست رضایت برای کاربر توضیح دهید.