अपने क्रेडेंशियल सुरक्षित रखें

इस गाइड में यह पक्का करने का तरीका बताया गया है कि आपका ऐप्लिकेशन और उपयोगकर्ता के क्रेडेंशियल कैसे सुरक्षित हैं.

OAuth ऐप्लिकेशन की पुष्टि की प्रक्रिया पूरी करें

Google Ads API के लिए, OAuth 2.0 के दायरे को पाबंदी वाले दायरे की कैटगरी में रखा गया है. इसका मतलब है कि आपको अपना ऐप्लिकेशन बनाने से पहले, OAuth ऐप्लिकेशन की पुष्टि की प्रक्रिया पूरी कर लेनी चाहिए. ज़्यादा जानने के लिए, Google की पहचान से जुड़े दस्तावेज़ और सहायता केंद्र का लेख पढ़ें.

ऐप्लिकेशन के क्रेडेंशियल सुरक्षित करें

आपको अपने ऐप्लिकेशन के OAuth 2.0 क्लाइंट आईडी और क्लाइंट सीक्रेट को सुरक्षित रखना चाहिए. इन क्रेडेंशियल से उपयोगकर्ताओं और Google को आपके ऐप्लिकेशन को पहचानने में मदद मिलती है. इसलिए, इन्हें सावधानी से मैनेज करें. आपको इन ऐप्लिकेशन क्रेडेंशियल का इस्तेमाल पासवर्ड जैसे करना चाहिए. असुरक्षित तरीकों का इस्तेमाल करके उन्हें शेयर न करें, जैसे कि सार्वजनिक फ़ोरम पर पोस्ट करना, ईमेल अटैचमेंट में इन क्रेडेंशियल वाली कॉन्फ़िगरेशन फ़ाइलें भेजना, क्रेडेंशियल की हार्ड कोडिंग करना या उन्हें कोड स्टोर करने की जगह में भेजना. हमारा सुझाव है कि जब भी हो सके, Google Cloud Secret Manager या AWS Secret Manager जैसे किसी सीक्रेट मैनेजर का इस्तेमाल करें.

अगर आपके OAuth 2.0 क्लाइंट सीक्रेट के साथ छेड़छाड़ की गई है, तो आपके पास उन्हें रीसेट करने का विकल्प है. डेवलपर टोकन को रीसेट भी किया जा सकता है.

डेवलपर टोकन को सुरक्षित करें

डेवलपर टोकन की मदद से किसी खाते में एपीआई कॉल किए जा सकते हैं. हालांकि, यह एक तरह की पाबंदी नहीं होती कि कॉल करने के लिए इसका इस्तेमाल किन खातों के साथ किया जा सकता है. इसकी वजह से, आपके ऐप्लिकेशन को एट्रिब्यूट किए गए कॉल करने के लिए, कोई दूसरा व्यक्ति हैक या चोरी किए गए डेवलपर टोकन का इस्तेमाल कर सकता है. इस स्थिति से बचने के लिए, रोकथाम के ये उपाय अपनाएं:

• अपने डेवलपर टोकन को पासवर्ड की तरह इस्तेमाल करें. असुरक्षित तरीकों का इस्तेमाल करके इसे शेयर न करें. उदाहरण के लिए, सार्वजनिक फ़ोरम पर पोस्ट करना या ईमेल अटैचमेंट के तौर पर डेवलपर टोकन वाली कॉन्फ़िगरेशन फ़ाइलें भेजना. हमारा सुझाव है कि जब भी हो सके, Google Cloud Secret Manager या AWS Secret Manager जैसे किसी सीक्रेट मैनेजर का इस्तेमाल करें.

• अगर आपके डेवलपर टोकन के साथ छेड़छाड़ की गई है, तो आपको उसे रीसेट करना चाहिए.

  • उस Google Ads मैनेजर खाते में साइन इन करें जिसका इस्तेमाल आपने Google Ads API के लिए आवेदन करते समय किया था.
  • टूल और सेटिंग > एपीआई सेंटर पर जाएं.
  • डेवलपर टोकन के बगल में मौजूद ड्रॉप-डाउन ऐरो पर क्लिक करें.
  • टोकन रीसेट करें लिंक पर क्लिक करें. आपका पुराना डेवलपर टोकन तुरंत काम करना बंद कर देगा.
  • नए डेवलपर टोकन का इस्तेमाल करने के लिए अपने ऐप्लिकेशन के प्रोडक्शन कॉन्फ़िगरेशन को अपडेट करें.

सेवा वाले खातों को सुरक्षित करें

सेवा खातों के लिए यह ज़रूरी है कि पूरे डोमेन के लिए, किसी दूसरे के नाम पर काम करने की सुविधा, Google Ads API के साथ ठीक से काम करे. इसके अलावा, आपको पूरे डोमेन के लोगों के नाम का गलत इस्तेमाल करने की सुविधा सेट अप करने के लिए, Google Workspace ग्राहक होना चाहिए. इन वजहों से, हमारा सुझाव है कि Google Ads API कॉल करते समय, सेवा खातों का इस्तेमाल न करें. हालांकि, अगर आपको सेवा खातों का इस्तेमाल करना है, तो आपको उन्हें इस तरह सुरक्षित करना चाहिए:

• अपने सेवा खाते की कुंजी और JSON फ़ाइल को पासवर्ड मानें. जब भी हो सके, Google Cloud Secret Manager या AWS Secret Manager जैसे सीक्रेट मैनेजर का इस्तेमाल करके उन्हें सुरक्षित करें.

• अपने सेवा खातों को सुरक्षित और मैनेज करने के लिए, Google Cloud के अन्य सबसे सही तरीके अपनाएं.

उपयोगकर्ता टोकन को सुरक्षित करें

अगर आपका ऐप्लिकेशन एक से ज़्यादा उपयोगकर्ताओं को अनुमति देता है, तो आपको उपयोगकर्ताओं के रीफ़्रेश और ऐक्सेस टोकन को सुरक्षित रखने के लिए कुछ और कदम उठाने चाहिए. टोकन को एक जगह पर सुरक्षित तरीके से सेव रखें और उन्हें कभी भी सादे टेक्स्ट की मदद से शेयर न करें. अपने प्लैटफ़ॉर्म के हिसाब से सही सुरक्षित स्टोरेज सिस्टम का इस्तेमाल करें.

रीफ़्रेश टोकन को रद्द करने और उसकी समयसीमा खत्म होने की प्रोसेस को मैनेज करना

अगर आपका ऐप्लिकेशन, अनुमति देने के तौर पर OAuth 2.0 रीफ़्रेश टोकन का अनुरोध करता है, तो आपको उसके अमान्य होने या उसकी समयसीमा खत्म होने की समस्या को भी मैनेज करना होगा. रीफ़्रेश टोकन कई वजहों से अमान्य हो सकते हैं और आपके ऐप्लिकेशन को या तो अगले लॉगिन सेशन के दौरान उपयोगकर्ता को फिर से अनुमति देकर या सही तरीके से उनके डेटा को साफ़ करके जवाब देना चाहिए. क्रॉन जॉब जैसे ऑफ़लाइन जॉब को उन खातों का पता लगाना और उन्हें रिकॉर्ड करना चाहिए जिनके रीफ़्रेश टोकन की समयसीमा खत्म हो गई है. उन्हें लगातार पूरे न किए जाने वाले अनुरोध करने चाहिए. Google उन ऐप्लिकेशन को थ्रॉटल कर सकता है जो एपीआई सर्वर की स्थिरता बनाए रखने के लिए, लंबे समय तक ज़्यादा गड़बड़ियां जनरेट करते हैं.

एक से ज़्यादा दायरों के लिए सहमति को मैनेज करना

अगर आपका ऐप्लिकेशन, OAuth 2.0 के एक से ज़्यादा दायरों की अनुमति देने का अनुरोध करता है, तो हो सकता है कि उपयोगकर्ता आपके अनुरोध किए गए सभी OAuth दायरों की अनुमति न दे. आपके ऐप्लिकेशन को ज़रूरी सुविधाओं को बंद करके, दायरों को अस्वीकार करने से जुड़ी समस्याओं को हल करना चाहिए. उपयोगकर्ता को फिर से प्रॉम्प्ट भेजने के लिए, उसमें साफ़ तौर पर बताया जा सकता है कि वह खास सुविधा इस्तेमाल करने की अनुमति देना चाहता है. ऐसे मामलों में सही OAuth दायरों का अनुरोध करने के लिए, इंक्रीमेंटल ऑथराइज़ेशन का इस्तेमाल करें.

अगर आपके ऐप्लिकेशन की बुनियादी सुविधाओं के लिए एक से ज़्यादा दायरों की ज़रूरत है, तो सहमति देने का अनुरोध करने से पहले, उपयोगकर्ता को इस ज़रूरी शर्त के बारे में बताएं.