Las credenciales cifradas deber\u00edan ser lo predeterminado en los complementos para el Perfil de Empresa de Google. Los complementos que guardan los secretos de cliente de OAuth en texto plano ponen en riesgo a tu negocio y a tus clientes. Esta gu\u00eda explica qu\u00e9 esperar de un complemento bien construido en 2026.<\/p>\n\n
Los secretos de OAuth dan acceso total a tu Perfil de Empresa de Google. Un secreto filtrado puede usarse para publicar en tu nombre, leer tus rese\u00f1as y contaminar tus estad\u00edsticas. El almacenamiento en texto plano en la tabla de opciones es la superficie de ataque m\u00e1s com\u00fan.<\/p>\n\n
El cifrado en reposo bloquea el vector de ataque del volcado de base de datos.<\/p>\n\n
GMB Poster utiliza cifrado AES-256-CBC basado en la constante AUTH_KEY de tu sitio. La clave de cifrado nunca aparece en la base de datos. Las credenciales se cifran antes de escribirse y se descifran solo cuando se necesitan para la llamada a la API de Google.<\/p>\n\n
El complemento GMB Poster tampoco registra nunca las credenciales ni las devuelve en las respuestas de la API REST.<\/p>\n\n
Revisa directamente la tabla de opciones. Busca el secreto de cliente de OAuth. Si lo encuentras en texto plano, el complemento no es seguro. Si encuentras bytes cifrados, el complemento lo est\u00e1 haciendo bien.<\/p>\n\n
Revisa las respuestas de la API REST en busca de cualquier campo que deber\u00eda ser privado. Si el secreto aparece en una respuesta, es una filtraci\u00f3n.<\/p>\n\n
Rota los secretos de OAuth cuando se marche personal, cuando sospeches que las credenciales est\u00e1n comprometidas o anualmente como pr\u00e1ctica de higiene. El almacenamiento cifrado hace que la rotaci\u00f3n sea trivial porque el complemento se encarga autom\u00e1ticamente del recifrado.<\/p>\n\n
Documenta qui\u00e9n tiene acceso a la rotaci\u00f3n de credenciales como parte de tu plan de respuesta a incidentes.<\/p>\n\n
Los tokens de acceso y los tokens de actualizaci\u00f3n son igual de sensibles y necesitan el mismo tratamiento de cifrado. Algunos complementos cifran el secreto de cliente, pero dejan los tokens en texto plano. Eso sigue siendo una filtraci\u00f3n.<\/p>\n\n
Verifica que todo el ciclo de vida de las credenciales est\u00e9 protegido.<\/p>\n\n
En los complementos nuevos, s\u00ed. Los m\u00e1s antiguos son irregulares. Audita tu complemento antes de confiarle credenciales de producci\u00f3n.<\/p>\n\n
Tendr\u00e1s que volver a introducir las credenciales. El complemento no puede descifrar el almac\u00e9n antiguo con una clave nueva.<\/p>\n\n
Forma parte de la seguridad del n\u00facleo de WordPress. Tr\u00e1tala como cualquier otro secreto. R\u00f3tala con cuidado.<\/p>\n\n
No. El descifrado es cuesti\u00f3n de microsegundos por llamada.<\/p>\n\n