এই নির্দেশিকাটি দেখায় কিভাবে আপনার অ্যাপ্লিকেশন এবং ব্যবহারকারীর পরিচয়পত্র সুরক্ষিত রাখা যায়।
OAuth অ্যাপ যাচাইকরণ সম্পূর্ণ করুন
Google Ads API-এর জন্য OAuth 2.0 স্কোপটিকে একটি সীমাবদ্ধ স্কোপ হিসেবে শ্রেণীবদ্ধ করা হয়েছে, যার অর্থ হলো আপনার অ্যাপ্লিকেশনটি প্রোডাকশনে আনার আগে OAuth অ্যাপ্লিকেশন যাচাইকরণ প্রক্রিয়াটি সম্পন্ন করতে হবে। আরও জানতে Google Identity ডকুমেন্টেশন , যাচাইবিহীন অ্যাপ সম্পর্কিত হেল্প সেন্টার আর্টিকেল এবং OAuth কনসেন্ট স্ক্রিন সেট আপ করার ডকুমেন্টেশন দেখুন।
অ্যাপ্লিকেশনটির পরিচয়পত্র সুরক্ষিত করুন।
আপনার অ্যাপ্লিকেশনের OAuth 2.0 ক্লায়েন্ট আইডি এবং ক্লায়েন্ট সিক্রেট সুরক্ষিত রাখা উচিত। এই ক্রেডেনশিয়ালগুলো আপনার ব্যবহারকারী এবং গুগলকে আপনার অ্যাপ্লিকেশন শনাক্ত করতে সাহায্য করে, তাই এগুলো সাবধানে ব্যবহার করা উচিত। এই অ্যাপ্লিকেশন ক্রেডেনশিয়ালগুলোকে পাসওয়ার্ডের মতোই বিবেচনা করা উচিত। পাবলিক ফোরামে পোস্ট করা, ইমেল অ্যাটাচমেন্টে এই ক্রেডেনশিয়ালগুলোসহ কনফিগারেশন ফাইল পাঠানো, ক্রেডেনশিয়ালগুলো হার্ড কোড করা, বা কোনো কোড রিপোজিটরিতে কমিট করার মতো অসুরক্ষিত পদ্ধতির মাধ্যমে এগুলো শেয়ার করবেন না। সম্ভব হলে আমরা গুগল ক্লাউড সিক্রেট ম্যানেজার বা এডব্লিউএস সিক্রেট ম্যানেজারের মতো সিক্রেট ম্যানেজার ব্যবহার করার পরামর্শ দিই।
আপনার OAuth 2.0 ক্লায়েন্ট সিক্রেট ফাঁস হয়ে গেলে, আপনি সেগুলি রিসেট করতে পারেন। একটি ডেভেলপার টোকেনও রিসেট করা যায়।
ডেভেলপার টোকেন সুরক্ষিত করুন
ডেভেলপার টোকেন আপনাকে একটি অ্যাকাউন্টে এপিআই (API) কল করার অনুমতি দেয়, কিন্তু কোন কোন অ্যাকাউন্টের সাথে এটি ব্যবহার করে কল করা যাবে তার উপর কোনো বিধিনিষেধ নেই। ফলে, একটি হ্যাক হওয়া ডেভেলপার টোকেন অন্য কেউ ব্যবহার করে এমন কল করতে পারে যা আপনার অ্যাপ্লিকেশনের নামে দেখানো হবে। এই পরিস্থিতি এড়াতে, নিম্নলিখিত প্রতিরোধমূলক ব্যবস্থাগুলো গ্রহণ করুন:
আপনার ডেভেলপার টোকেনকে পাসওয়ার্ডের মতো ব্যবহার করুন। পাবলিক ফোরামে পোস্ট করা বা ইমেল অ্যাটাচমেন্ট হিসেবে ডেভেলপার টোকেনযুক্ত কনফিগারেশন ফাইল পাঠানোর মতো অনিরাপদ পদ্ধতিতে এটি শেয়ার করবেন না। সম্ভব হলে আমরা গুগল ক্লাউড সিক্রেট ম্যানেজার বা এডব্লিউএস সিক্রেট ম্যানেজারের মতো সিক্রেট ম্যানেজার ব্যবহার করার পরামর্শ দিই।
আপনার ডেভেলপার টোকেনটি যদি অরক্ষিত হয়ে পড়ে, তবে আপনার এটি রিসেট করা উচিত।
- Google Ads API-এর জন্য আবেদন করার সময় আপনি যে Google Ads ম্যানেজার অ্যাকাউন্টটি ব্যবহার করেছিলেন, সেটিতে সাইন ইন করুন।
- টুলস ও সেটিংস > এপিআই সেন্টার- এ যান।
- ডেভেলপার টোকেন-এর পাশের ড্রপ-ডাউন তীরটিতে ক্লিক করুন।
- রিসেট টোকেন লিঙ্কে ক্লিক করুন। আপনার পুরানো ডেভেলপার টোকেনটি সাথে সাথে কাজ করা বন্ধ করে দেবে।
- নতুন ডেভেলপার টোকেন ব্যবহার করার জন্য আপনার অ্যাপ্লিকেশনের প্রোডাকশন কনফিগারেশন আপডেট করুন।
পরিষেবা অ্যাকাউন্টগুলি সুরক্ষিত করুন
Google Ads API-এর সাথে সঠিকভাবে কাজ করার জন্য সার্ভিস অ্যাকাউন্টগুলোর ডোমেন-ব্যাপী ইমপার্সোনেশন প্রয়োজন। এছাড়াও, ডোমেন-ব্যাপী ইমপার্সোনেশন সেট আপ করার জন্য আপনাকে একজন Google Workspace গ্রাহক হতে হবে। এই কারণগুলোর জন্য, Google Ads API কল করার সময় আমরা সার্ভিস অ্যাকাউন্ট ব্যবহার না করার পরামর্শ দিই। তবে, আপনি যদি সার্ভিস অ্যাকাউন্ট ব্যবহার করার সিদ্ধান্ত নেন, তাহলে সেগুলোকে নিম্নোক্তভাবে সুরক্ষিত করা উচিত:
আপনার সার্ভিস অ্যাকাউন্ট কী এবং JSON ফাইলকে পাসওয়ার্ড হিসেবে ব্যবহার করুন। সম্ভব হলে Google Cloud Secret Manager বা AWS Secret Manager-এর মতো কোনো সিক্রেট ম্যানেজার ব্যবহার করে সেগুলোকে সুরক্ষিত করুন।
আপনার পরিষেবা অ্যাকাউন্টগুলি সুরক্ষিত ও পরিচালনা করতে গুগল ক্লাউডের অতিরিক্ত সেরা অনুশীলনগুলি অনুসরণ করুন।
ব্যবহারকারীর টোকেনগুলি সুরক্ষিত করুন
আপনার অ্যাপ যদি একাধিক ব্যবহারকারীকে অনুমোদন দেয়, তবে ব্যবহারকারীদের রিফ্রেশ এবং অ্যাক্সেস টোকেন সুরক্ষিত রাখতে আপনার অতিরিক্ত পদক্ষেপ নেওয়া উচিত। টোকেনগুলো নিরাপদে সংরক্ষণ করুন এবং কখনোই সেগুলোকে প্লেইন টেক্সটে প্রেরণ করবেন না। আপনার প্ল্যাটফর্মের জন্য উপযুক্ত একটি সুরক্ষিত স্টোরেজ সিস্টেম ব্যবহার করুন।
রিফ্রেশ টোকেন বাতিলকরণ এবং মেয়াদোত্তীর্ণ হওয়া পরিচালনা করুন
যদি আপনার অ্যাপ অনুমোদনের অংশ হিসেবে OAuth 2.0 রিফ্রেশ টোকেনের অনুরোধ করে, তবে আপনাকে অবশ্যই সেগুলোর অবৈধ হয়ে যাওয়া বা মেয়াদ শেষ হয়ে যাওয়ার বিষয়টিও সামলাতে হবে। বিভিন্ন কারণে রিফ্রেশ টোকেন অবৈধ হয়ে যেতে পারে, এবং আপনার অ্যাপ্লিকেশনের উচিত হয় পরবর্তী লগইন সেশনে ব্যবহারকারীকে পুনরায় অনুমোদন দিয়ে, অথবা প্রয়োজন অনুযায়ী তাদের ডেটা মুছে ফেলে যথাযথভাবে এর প্রতিক্রিয়া জানানো। ক্রন জবের মতো অফলাইন জবগুলোর উচিত ব্যর্থ অনুরোধ চালিয়ে যাওয়ার পরিবর্তে, যেসব অ্যাকাউন্টের রিফ্রেশ টোকেনের মেয়াদ শেষ হয়ে গেছে সেগুলোকে শনাক্ত ও রেকর্ড করা। এপিআই সার্ভারগুলোর স্থিতিশীলতা বজায় রাখার জন্য, গুগল এমন অ্যাপ্লিকেশনগুলোর গতি কমিয়ে দিতে পারে যেগুলো দীর্ঘ সময় ধরে উচ্চ মাত্রার ত্রুটি তৈরি করে।
একাধিক স্কোপের জন্য সম্মতি পরিচালনা করুন
যদি আপনার অ্যাপ একাধিক OAuth 2.0 স্কোপের জন্য অনুমোদন চায়, তাহলে ব্যবহারকারী আপনার অনুরোধ করা সমস্ত OAuth স্কোপের অনুমতি নাও দিতে পারেন। স্কোপের অনুমতি না দেওয়ার বিষয়টি আপনার অ্যাপের উচিত প্রাসঙ্গিক ফিচারগুলো নিষ্ক্রিয় করে দেওয়া। ব্যবহারকারী যখন স্পষ্টভাবে সেই নির্দিষ্ট ফিচারটি ব্যবহার করার ইচ্ছা প্রকাশ করবেন, কেবল তখনই আপনি তাকে আবার অনুরোধ করতে পারেন। এই ধরনের ক্ষেত্রে যথাযথ OAuth স্কোপের জন্য অনুরোধ করতে ইনক্রিমেন্টাল অথরাইজেশন ব্যবহার করুন।
আপনার অ্যাপের মৌলিক বৈশিষ্ট্যগুলোর জন্য যদি একাধিক স্কোপের প্রয়োজন হয়, তবে সম্মতি চাওয়ার আগে ব্যবহারকারীকে এই প্রয়োজনীয়তাটি ব্যাখ্যা করুন।