Las credenciales cifradas deberían ser lo predeterminado en los complementos para el Perfil de Empresa de Google. Los complementos que guardan los secretos de cliente de OAuth en texto plano ponen en riesgo a tu negocio y a tus clientes. Esta guía explica qué esperar de un complemento bien construido en 2026.
Por qué las credenciales deben cifrarse
Los secretos de OAuth dan acceso total a tu Perfil de Empresa de Google. Un secreto filtrado puede usarse para publicar en tu nombre, leer tus reseñas y contaminar tus estadísticas. El almacenamiento en texto plano en la tabla de opciones es la superficie de ataque más común.
El cifrado en reposo bloquea el vector de ataque del volcado de base de datos.
Cómo funciona un cifrado correcto
GMB Poster utiliza cifrado AES-256-CBC basado en la constante AUTH_KEY de tu sitio. La clave de cifrado nunca aparece en la base de datos. Las credenciales se cifran antes de escribirse y se descifran solo cuando se necesitan para la llamada a la API de Google.
El complemento GMB Poster tampoco registra nunca las credenciales ni las devuelve en las respuestas de la API REST.
Cómo verificar tu complemento
Revisa directamente la tabla de opciones. Busca el secreto de cliente de OAuth. Si lo encuentras en texto plano, el complemento no es seguro. Si encuentras bytes cifrados, el complemento lo está haciendo bien.
Revisa las respuestas de la API REST en busca de cualquier campo que debería ser privado. Si el secreto aparece en una respuesta, es una filtración.
Política de rotación
Rota los secretos de OAuth cuando se marche personal, cuando sospeches que las credenciales están comprometidas o anualmente como práctica de higiene. El almacenamiento cifrado hace que la rotación sea trivial porque el complemento se encarga automáticamente del recifrado.
Documenta quién tiene acceso a la rotación de credenciales como parte de tu plan de respuesta a incidentes.
Más allá del secreto
Los tokens de acceso y los tokens de actualización son igual de sensibles y necesitan el mismo tratamiento de cifrado. Algunos complementos cifran el secreto de cliente, pero dejan los tokens en texto plano. Eso sigue siendo una filtración.
Verifica que todo el ciclo de vida de las credenciales esté protegido.
Preguntas frecuentes
¿El cifrado de credenciales es ya estándar en los complementos para el Perfil de Empresa de Google?
En los complementos nuevos, sí. Los más antiguos son irregulares. Audita tu complemento antes de confiarle credenciales de producción.
¿Qué pasa si cambia mi AUTH_KEY?
Tendrás que volver a introducir las credenciales. El complemento no puede descifrar el almacén antiguo con una clave nueva.
¿Es la AUTH_KEY un único punto de fallo?
Forma parte de la seguridad del núcleo de WordPress. Trátala como cualquier otro secreto. Rótala con cuidado.
¿Esto ralentiza la publicación?
No. El descifrado es cuestión de microsegundos por llamada.
¿Quieres estar seguro de que las credenciales de tu Perfil de Empresa de Google están bien protegidas? Defyn diseña y mantiene esos flujos de trabajo para empresas australianas.
