Las credenciales de OAuth por instalación para el Perfil de Empresa de Google no son solo una buena práctica de seguridad. Son un requisito de las Condiciones del Servicio de Google. Los complementos que comparten un secreto de cliente entre miles de sitios infringen las reglas y ponen en riesgo a todos los sitios. Aquí se explica por qué.
Qué hacen mal los secretos compartidos
Algunos complementos antiguos usan un único ID de cliente y secreto de OAuth codificados para todos los clientes. Cómodo. Barato. Inseguro. Un solo compromiso filtra las credenciales de todos los sitios que usan el complemento.
También infringe las Condiciones del Servicio de la API de Google para aplicaciones distribuidas.
Cómo funciona por instalación
Cada sitio crea su propio proyecto de Google Cloud y su cliente de OAuth. Las credenciales solo residen en ese sitio. GMB Poster te guía con el asistente de configuración, de modo que la fricción es mínima.
Si un sitio se ve comprometido, el radio de impacto es un solo sitio. El complemento GMB Poster mantiene limpia la frontera de seguridad.
Guardar las credenciales de forma segura
Incluso las credenciales por instalación necesitan almacenamiento cifrado. El complemento cifra el ID de cliente y el secreto con AES-256-CBC usando una clave derivada de la constante AUTH_KEY de tu sitio. Las credenciales nunca aparecen en texto plano en ningún sitio.
Tampoco aparecen nunca en las respuestas de la API REST ni en las respuestas AJAX del administrador.
Rotar las credenciales
Genera un nuevo secreto de cliente en la Google Cloud Console cuando quieras. Pega el nuevo valor en el complemento. El almacén cifrado se actualiza. Los tokens de actualización existentes siguen funcionando o se renuevan en el próximo uso.
Rota anualmente o siempre que se marche personal con acceso.
Cumplimiento y auditoría
Para los sitios sujetos al RGPD, a la Ley de Privacidad de Australia o a normativas estatales de EE. UU., el OAuth por instalación simplifica la auditoría. Las credenciales están acotadas a un solo negocio. Los flujos de datos son claros.
Los auditores prefieren el modelo más sencillo.
Preguntas frecuentes
¿El OAuth por instalación para el Perfil de Empresa de Google es más difícil de configurar?
Marginalmente. Diez minutos más una sola vez en la instalación. Gratis durante toda la vida del sitio.
¿Y si gestiono varios sitios?
Repite el asistente para cada uno. O usa el mismo proyecto de Google Cloud con clientes separados, si lo prefieres.
¿Google exige el OAuth por instalación en producción?
Para los complementos distribuidos, sí. Los secretos compartidos codificados infringen las Condiciones del Servicio.
¿Puedo compartir las credenciales con mi agencia?
Sí, para la configuración. Las credenciales residen en el sitio, no en la agencia.
¿Quieres montar el Perfil de Empresa de Google con una base de OAuth segura y conforme? Defyn diseña y mantiene esos flujos de trabajo para empresas australianas.
