Bu kılavuzda, uygulama ve kullanıcı kimlik bilgilerinizin güvenli olduğundan nasıl emin olacağınız gösterilmektedir.
OAuth uygulaması doğrulamasını tamamlama
Google Ads API için OAuth 2.0 kapsamı, kısıtlanmış kapsam olarak sınıflandırılır. Bu nedenle, uygulamanızı üretime geçirmeden önce OAuth uygulama doğrulama sürecini tamamlamanız gerekir. Daha fazla bilgi edinmek için Google Identity belgelerine, doğrulanmamış uygulamalarla ilgili Yardım Merkezi makalesine ve OAuth kullanıcı rızası ekranını ayarlama ile ilgili belgelere göz atın.
Uygulama kimlik bilgilerinin güvenliğini sağlama
Uygulamanızın OAuth 2.0 istemci kimliğini ve istemci gizli anahtarını güvenceye almanız gerekir. Bu kimlik bilgileri, kullanıcılarınızın ve Google'ın uygulamanızı tanımlamasına yardımcı olur. Bu nedenle, dikkatli bir şekilde kullanılmaları gerekir. Bu uygulama kimlik bilgilerini şifreler gibi ele almalısınız. Kimlik bilgilerini herkese açık forumlarda yayınlama, bu kimlik bilgilerini içeren yapılandırma dosyalarını e-posta eklerinde gönderme, kimlik bilgilerini sabit kodlama veya bir kod deposuna kaydetme gibi güvenli olmayan yöntemlerle paylaşmayın. Mümkün olduğunda Google Cloud Secret Manager veya AWS Secrets Manager gibi bir gizli anahtar yöneticisi kullanmanızı öneririz.
OAuth 2.0 istemci gizli anahtarlarınızın güvenliği ihlal edilirse bunları sıfırlayabilirsiniz.
Hizmet hesaplarının güvenliğini sağlama
Hizmet hesapları kullanıyorsanız bunları aşağıdaki şekilde güvenceye alın:
Hizmet hesabı anahtarınızı ve JSON dosyanızı şifre olarak değerlendirin. Mümkün olduğunda Google Cloud Secret Manager veya AWS Secrets Manager gibi bir gizli anahtar yöneticisi kullanarak bunları güvenceye alın.
Hizmet hesaplarınızın güvenliğini sağlamak ve yönetmek için Google Cloud'un ek en iyi uygulamalarını takip edin.
Kullanıcı jetonlarının güvenliğini sağlama
Uygulamanız birden fazla kullanıcıya yetki veriyorsa kullanıcıların yenileme ve erişim jetonlarını korumak için ek adımlar atmanız gerekir. Jetonları bekleme durumunda güvenli bir şekilde saklayın ve hiçbir zaman düz metin olarak iletmeyin. Platformunuza uygun güvenli bir depolama sistemi kullanın.
Yenileme jetonunun iptalini ve geçerlilik süresinin dolmasını yönetme
Uygulamanız yetkilendirme kapsamında bir OAuth 2.0 yenileme jetonu istiyorsa jetonun geçersiz kılınmasını veya süresinin dolmasını da yönetmeniz gerekir. Yenileme jetonları çeşitli nedenlerle geçersiz kılınabilir. Bu durumda uygulamanız, kullanıcının bir sonraki giriş oturumunda yeniden yetkilendirme yaparak veya verilerini uygun şekilde temizleyerek düzgün bir şekilde yanıt vermelidir. Cron işleri gibi çevrimdışı işler, başarısız istekler göndermeye devam etmek yerine yenileme jetonlarının süresi dolmuş hesapları tespit edip kaydetmelidir. Google, API sunucularının kararlılığını korumak için uzun bir süre boyunca yüksek düzeyde hata oluşturan uygulamaları kısıtlayabilir.
Birden fazla kapsam için rızayı yönetme
Uygulamanız birden fazla OAuth 2.0 kapsamı için yetkilendirme isterse kullanıcı, istediğiniz tüm OAuth kapsamlarını vermeyebilir. Uygulamanız, kapsamların reddedilmesini ilgili özellikleri devre dışı bırakarak işlemelidir. Kullanıcıdan yalnızca, kapsamı gerektiren belirli bir özelliği kullanma niyetini açıkça belirttikten sonra tekrar izin isteyebilirsiniz. Bu gibi durumlarda uygun OAuth kapsamlarını istemek için artımlı yetkilendirme kullanın.
Uygulamanızın temel özellikleri birden fazla kapsam gerektiriyorsa izin istemeden önce kullanıcıya bu gereksinimi açıklayın.