Panduan ini menunjukkan cara memastikan aplikasi dan kredensial pengguna Anda aman.
Menyelesaikan verifikasi aplikasi OAuth
Cakupan OAuth 2.0 untuk Google Ads API diklasifikasikan sebagai cakupan yang dibatasi, yang berarti Anda harus menyelesaikan proses verifikasi aplikasi OAuth sebelum memproduksi aplikasi Anda. Lihat dokumentasi Google Identity, artikel Pusat Bantuan tentang aplikasi yang tidak diverifikasi, dan dokumen tentang menyiapkan layar izin OAuth untuk mempelajari lebih lanjut.
Mengamankan kredensial aplikasi
Anda harus mengamankan client ID dan rahasia klien OAuth 2.0 aplikasi Anda. Kredensial ini membantu pengguna dan Google mengidentifikasi aplikasi Anda, sehingga harus ditangani dengan hati-hati. Anda harus memperlakukan kredensial aplikasi ini seperti sandi. Jangan bagikan kredensial menggunakan mekanisme yang tidak aman seperti memposting di forum publik, mengirim file konfigurasi yang berisi kredensial ini dalam lampiran email, melakukan hard code pada kredensial, atau meng-commit-nya ke repositori kode. Sebaiknya gunakan pengelola secret seperti Google Cloud Secret Manager atau AWS Secrets Manager jika memungkinkan.
Jika rahasia klien OAuth 2.0 Anda disusupi, Anda dapat meresetnya.
Mengamankan akun layanan
Jika Anda menggunakan akun layanan, amankan akun tersebut sebagai berikut:
Perlakukan kunci akun layanan dan file JSON Anda sebagai sandi. Amankan menggunakan pengelola secret seperti Google Cloud Secret Manager atau AWS Secrets Manager jika memungkinkan.
Ikuti praktik terbaik tambahan dari Google Cloud untuk mengamankan dan mengelola akun layanan Anda.
Mengamankan token pengguna
Jika aplikasi Anda memberikan otorisasi kepada beberapa pengguna, Anda harus melakukan langkah-langkah tambahan untuk melindungi token refresh dan akses pengguna. Simpan token dengan aman saat tidak aktif dan jangan pernah mengirimkannya dalam teks biasa. Gunakan sistem penyimpanan yang aman dan sesuai untuk platform Anda.
Menangani pencabutan dan masa berlaku token refresh
Jika aplikasi Anda meminta token refresh OAuth 2.0 sebagai bagian dari otorisasi, Anda juga harus menangani pembatalan atau masa berlakunya. Token refresh dapat dibatalkan karena berbagai alasan, dan aplikasi Anda harus merespons dengan baik, baik dengan mengizinkan ulang pengguna selama sesi login berikutnya, atau membersihkan data mereka sebagaimana mestinya. Tugas offline, seperti cron job, harus mendeteksi dan mencatat akun yang token refresh-nya telah habis masa berlakunya, bukan terus membuat permintaan yang gagal. Google mungkin membatasi aplikasi yang menghasilkan tingkat error yang tinggi dalam jangka waktu yang lama untuk menjaga stabilitas server API.
Mengelola izin untuk beberapa cakupan
Jika aplikasi Anda meminta otorisasi untuk beberapa cakupan OAuth 2.0, pengguna mungkin tidak memberikan semua cakupan OAuth yang Anda minta. Aplikasi Anda harus menangani penolakan cakupan dengan menonaktifkan fitur yang relevan. Anda dapat meminta pengguna lagi hanya setelah mereka dengan jelas menunjukkan niat untuk menggunakan fitur tertentu yang memerlukan cakupan. Gunakan otorisasi inkremental untuk meminta cakupan OAuth yang sesuai dalam kasus tersebut.
Jika fitur dasar aplikasi Anda memerlukan beberapa cakupan, jelaskan persyaratan ini kepada pengguna sebelum meminta izin.