Pro-Installation-OAuth-Zugangsdaten für das Google Unternehmensprofil sind nicht nur eine Sicherheits-Best-Practice. Sie sind eine Anforderung der Google-Nutzungsbedingungen. Plugins, die ein Client-Secret über Tausende von Websites teilen, verstoßen gegen die Regeln und gefährden jede Website. Hier wird erklärt, warum.
Was geteilte Secrets falsch machen
Manche Alt-Plugins verwenden eine einzige OAuth-Client-ID und ein Secret, fest einprogrammiert für jeden Kunden. Bequem. Günstig. Unsicher. Eine einzige Kompromittierung leakt die Zugangsdaten für jede Website, die das Plugin nutzt.
Es verstößt zudem gegen die Google-API-Nutzungsbedingungen für verteilte Anwendungen.
Wie Pro-Installation funktioniert
Jede Website erstellt ihr eigenes Google-Cloud-Projekt und ihren eigenen OAuth-Client. Die Zugangsdaten liegen nur auf dieser Website. GMB Poster führt dich durch den Einrichtungsassistenten, sodass der Aufwand minimal ist.
Wird eine Website kompromittiert, beträgt der Wirkungsradius genau eine Website. Das GMB-Poster-Plugin hält die Sicherheitsgrenze sauber.
Die Zugangsdaten sicher speichern
Selbst Pro-Installation-Zugangsdaten brauchen verschlüsselte Speicherung. Das Plugin verschlüsselt Client-ID und Secret mit AES-256-CBC und einem aus der AUTH_KEY-Konstante deiner Website abgeleiteten Schlüssel. Zugangsdaten erscheinen nirgends im Klartext.
Sie erscheinen auch nie in REST-API-Antworten oder in Admin-AJAX-Rückgaben.
Zugangsdaten rotieren
Erzeuge jederzeit ein neues Client-Secret in der Google Cloud Console. Füge den neuen Wert in das Plugin ein. Der verschlüsselte Speicher aktualisiert sich. Bestehende Refresh-Tokens funktionieren weiter oder werden bei der nächsten Nutzung erneuert.
Rotiere jährlich oder immer dann, wenn Mitarbeiter mit Zugriff gehen.
Compliance und Audit
Für Websites, die der DSGVO, dem australischen Datenschutzgesetz oder US-Bundesstaatenregeln unterliegen, vereinfacht Pro-Installation-OAuth das Audit. Die Zugangsdaten sind auf ein einziges Unternehmen beschränkt. Die Datenflüsse sind klar.
Prüfer bevorzugen das einfachere Modell.
Häufig gestellte Fragen
Ist Pro-Installation-OAuth für das Google Unternehmensprofil schwerer einzurichten?
Geringfügig. Zehn Minuten mehr, einmalig bei der Installation. Kostenlos für die gesamte Lebensdauer der Website.
Was, wenn ich mehrere Websites betreibe?
Wiederhole den Assistenten für jede. Oder nutze dasselbe Google-Cloud-Projekt mit getrennten Clients, wenn dir das lieber ist.
Verlangt Google Pro-Installation für den Produktivbetrieb?
Für verteilte Plugins ja. Fest einprogrammierte geteilte Secrets verstoßen gegen die Nutzungsbedingungen.
Kann ich die Zugangsdaten mit meiner Agentur teilen?
Ja, für die Einrichtung. Die Zugangsdaten liegen auf der Website, nicht bei der Agentur.
Willst du dein Google Unternehmensprofil auf einem sicheren, konformen OAuth-Fundament aufsetzen? Defyn entwickelt und pflegt solche Workflows für australische Unternehmen.
