Pro-Installation-OAuth-Zugangsdaten f\u00fcr das Google Unternehmensprofil sind nicht nur eine Sicherheits-Best-Practice. Sie sind eine Anforderung der Google-Nutzungsbedingungen. Plugins, die ein Client-Secret \u00fcber Tausende von Websites teilen, versto\u00dfen gegen die Regeln und gef\u00e4hrden jede Website. Hier wird erkl\u00e4rt, warum.<\/p>\n\n
Manche Alt-Plugins verwenden eine einzige OAuth-Client-ID und ein Secret, fest einprogrammiert f\u00fcr jeden Kunden. Bequem. G\u00fcnstig. Unsicher. Eine einzige Kompromittierung leakt die Zugangsdaten f\u00fcr jede Website, die das Plugin nutzt.<\/p>\n\n
Es verst\u00f6\u00dft zudem gegen die Google-API-Nutzungsbedingungen f\u00fcr verteilte Anwendungen.<\/p>\n\n
Jede Website erstellt ihr eigenes Google-Cloud-Projekt und ihren eigenen OAuth-Client. Die Zugangsdaten liegen nur auf dieser Website. GMB Poster f\u00fchrt dich durch den Einrichtungsassistenten, sodass der Aufwand minimal ist.<\/p>\n\n
Wird eine Website kompromittiert, betr\u00e4gt der Wirkungsradius genau eine Website. Das GMB-Poster-Plugin h\u00e4lt die Sicherheitsgrenze sauber.<\/p>\n\n
Selbst Pro-Installation-Zugangsdaten brauchen verschl\u00fcsselte Speicherung. Das Plugin verschl\u00fcsselt Client-ID und Secret mit AES-256-CBC und einem aus der AUTH_KEY-Konstante deiner Website abgeleiteten Schl\u00fcssel. Zugangsdaten erscheinen nirgends im Klartext.<\/p>\n\n
Sie erscheinen auch nie in REST-API-Antworten oder in Admin-AJAX-R\u00fcckgaben.<\/p>\n\n
Erzeuge jederzeit ein neues Client-Secret in der Google Cloud Console. F\u00fcge den neuen Wert in das Plugin ein. Der verschl\u00fcsselte Speicher aktualisiert sich. Bestehende Refresh-Tokens funktionieren weiter oder werden bei der n\u00e4chsten Nutzung erneuert.<\/p>\n\n
Rotiere j\u00e4hrlich oder immer dann, wenn Mitarbeiter mit Zugriff gehen.<\/p>\n\n
F\u00fcr Websites, die der DSGVO, dem australischen Datenschutzgesetz oder US-Bundesstaatenregeln unterliegen, vereinfacht Pro-Installation-OAuth das Audit. Die Zugangsdaten sind auf ein einziges Unternehmen beschr\u00e4nkt. Die Datenfl\u00fcsse sind klar.<\/p>\n\n
Pr\u00fcfer bevorzugen das einfachere Modell.<\/p>\n\n
Geringf\u00fcgig. Zehn Minuten mehr, einmalig bei der Installation. Kostenlos f\u00fcr die gesamte Lebensdauer der Website.<\/p>\n\n
Wiederhole den Assistenten f\u00fcr jede. Oder nutze dasselbe Google-Cloud-Projekt mit getrennten Clients, wenn dir das lieber ist.<\/p>\n\n
F\u00fcr verteilte Plugins ja. Fest einprogrammierte geteilte Secrets versto\u00dfen gegen die Nutzungsbedingungen.<\/p>\n\n
Ja, f\u00fcr die Einrichtung. Die Zugangsdaten liegen auf der Website, nicht bei der Agentur.<\/p>\n\n