Le stockage chiffré des identifiants dans les extensions pour le Profil d’établissement Google

Les identifiants chiffrés devraient être la norme dans les extensions pour le Profil d’établissement Google. Les extensions qui stockent les secrets client OAuth en texte clair mettent en danger votre entreprise et vos clients. Ce guide explique ce qu’il faut attendre d’une extension bien conçue en 2026.

Pourquoi les identifiants doivent être chiffrés

Les secrets OAuth donnent un accès complet à votre Profil d’établissement Google. Un secret divulgué peut servir à publier en votre nom, lire vos avis et polluer vos statistiques. Le stockage en texte clair dans la table des options est la surface d’attaque la plus courante.

Le chiffrement au repos bloque le vecteur d’attaque du vidage de base de données.

Comment fonctionne un bon chiffrement

GMB Poster utilise un chiffrement AES-256-CBC basé sur la constante AUTH_KEY de votre site. La clé de chiffrement n’apparaît jamais dans la base de données. Les identifiants sont chiffrés avant l’écriture et déchiffrés uniquement au moment de l’appel à l’API Google.

L’extension GMB Poster ne journalise jamais les identifiants et ne les renvoie jamais dans les réponses de l’API REST.

Comment vérifier votre extension

Examinez directement la table des options. Recherchez votre secret client OAuth. Si vous le trouvez en texte clair, l’extension n’est pas sûre. Si vous trouvez des octets chiffrés, l’extension fait les choses correctement.

Vérifiez les réponses de l’API REST pour tout champ censé rester privé. Si le secret apparaît dans une réponse, c’est une fuite.

Politique de rotation

Faites tourner les secrets OAuth au départ d’un collaborateur, en cas de suspicion de compromission, ou chaque année par hygiène. Le stockage chiffré rend la rotation triviale, car l’extension gère automatiquement le rechiffrement.

Documentez qui a accès à la rotation des identifiants dans votre plan de réponse aux incidents.

Au-delà du secret

Les jetons d’accès et les jetons d’actualisation sont tout aussi sensibles et nécessitent le même chiffrement. Certaines extensions chiffrent le secret client mais laissent les jetons en texte clair. C’est encore une fuite.

Vérifiez que tout le cycle de vie des identifiants est protégé.

Questions fréquentes

Le chiffrement des identifiants est-il désormais standard dans les extensions pour le Profil d’établissement Google ?

Pour les nouvelles extensions, oui. Les plus anciennes sont inégales. Auditez votre extension avant de lui confier des identifiants de production.

Que se passe-t-il si ma AUTH_KEY change ?

Vous devrez saisir à nouveau les identifiants. L’extension ne peut pas déchiffrer l’ancien stockage avec une nouvelle clé.

La AUTH_KEY est-elle un point de défaillance unique ?

Elle fait partie de la sécurité du cœur de WordPress. Traitez-la comme tout autre secret. Faites-la tourner avec soin.

Cela ralentit-il la publication ?

Non. Le déchiffrement prend des microsecondes par appel.

Vous voulez être certain que les identifiants de votre Profil d’établissement Google sont bien protégés ? Defyn conçoit et maintient ces flux de travail pour les entreprises australiennes.