Las credenciales de OAuth por instalaci\u00f3n para el Perfil de Empresa de Google no son solo una buena pr\u00e1ctica de seguridad. Son un requisito de las Condiciones del Servicio de Google. Los complementos que comparten un secreto de cliente entre miles de sitios infringen las reglas y ponen en riesgo a todos los sitios. Aqu\u00ed se explica por qu\u00e9.<\/p>\n\n
Algunos complementos antiguos usan un \u00fanico ID de cliente y secreto de OAuth codificados para todos los clientes. C\u00f3modo. Barato. Inseguro. Un solo compromiso filtra las credenciales de todos los sitios que usan el complemento.<\/p>\n\n
Tambi\u00e9n infringe las Condiciones del Servicio de la API de Google para aplicaciones distribuidas.<\/p>\n\n
Cada sitio crea su propio proyecto de Google Cloud y su cliente de OAuth. Las credenciales solo residen en ese sitio. GMB Poster te gu\u00eda con el asistente de configuraci\u00f3n, de modo que la fricci\u00f3n es m\u00ednima.<\/p>\n\n
Si un sitio se ve comprometido, el radio de impacto es un solo sitio. El complemento GMB Poster mantiene limpia la frontera de seguridad.<\/p>\n\n
Incluso las credenciales por instalaci\u00f3n necesitan almacenamiento cifrado. El complemento cifra el ID de cliente y el secreto con AES-256-CBC usando una clave derivada de la constante AUTH_KEY de tu sitio. Las credenciales nunca aparecen en texto plano en ning\u00fan sitio.<\/p>\n\n
Tampoco aparecen nunca en las respuestas de la API REST ni en las respuestas AJAX del administrador.<\/p>\n\n
Genera un nuevo secreto de cliente en la Google Cloud Console cuando quieras. Pega el nuevo valor en el complemento. El almac\u00e9n cifrado se actualiza. Los tokens de actualizaci\u00f3n existentes siguen funcionando o se renuevan en el pr\u00f3ximo uso.<\/p>\n\n
Rota anualmente o siempre que se marche personal con acceso.<\/p>\n\n
Para los sitios sujetos al RGPD, a la Ley de Privacidad de Australia o a normativas estatales de EE. UU., el OAuth por instalaci\u00f3n simplifica la auditor\u00eda. Las credenciales est\u00e1n acotadas a un solo negocio. Los flujos de datos son claros.<\/p>\n\n
Los auditores prefieren el modelo m\u00e1s sencillo.<\/p>\n\n
Marginalmente. Diez minutos m\u00e1s una sola vez en la instalaci\u00f3n. Gratis durante toda la vida del sitio.<\/p>\n\n
Repite el asistente para cada uno. O usa el mismo proyecto de Google Cloud con clientes separados, si lo prefieres.<\/p>\n\n
Para los complementos distribuidos, s\u00ed. Los secretos compartidos codificados infringen las Condiciones del Servicio.<\/p>\n\n
S\u00ed, para la configuraci\u00f3n. Las credenciales residen en el sitio, no en la agencia.<\/p>\n\n