Les identifiants OAuth par installation pour le Profil d’établissement Google ne sont pas qu’une bonne pratique de sécurité. Ils sont une exigence des Conditions d’utilisation de Google. Les extensions qui partagent un secret client sur des milliers de sites enfreignent les règles et mettent chaque site en danger. Voici pourquoi.
Ce que les secrets partagés font mal
Certaines anciennes extensions utilisent un seul identifiant client et secret OAuth codés en dur pour tous les clients. Pratique. Économique. Non sécurisé. Une seule compromission divulgue les identifiants de tous les sites qui utilisent l’extension.
Cela enfreint aussi les Conditions d’utilisation de l’API Google pour les applications distribuées.
Comment fonctionne le par installation
Chaque site crée son propre projet Google Cloud et son client OAuth. Les identifiants ne résident que sur ce site. GMB Poster vous guide dans l’assistant de configuration, si bien que la friction est minime.
Si un site est compromis, le rayon d’impact est d’un seul site. L’extension GMB Poster garde la frontière de sécurité nette.
Stocker les identifiants en sécurité
Même les identifiants par installation ont besoin d’un stockage chiffré. L’extension chiffre l’identifiant client et le secret avec AES-256-CBC au moyen d’une clé dérivée de la constante AUTH_KEY de votre site. Les identifiants n’apparaissent jamais en texte clair nulle part.
Ils n’apparaissent jamais non plus dans les réponses de l’API REST ni dans les retours AJAX de l’administration.
Faire tourner les identifiants
Générez un nouveau secret client dans la Google Cloud Console quand vous voulez. Collez la nouvelle valeur dans l’extension. Le stockage chiffré se met à jour. Les jetons d’actualisation existants continuent de fonctionner ou se renouvellent à la prochaine utilisation.
Faites tourner chaque année ou dès qu’un collaborateur ayant accès s’en va.
Conformité et audit
Pour les sites soumis au RGPD, à la loi australienne sur la vie privée ou aux règles au niveau des États américains, l’OAuth par installation simplifie l’audit. Les identifiants sont limités à une seule entreprise. Les flux de données sont clairs.
Les auditeurs préfèrent le modèle plus simple.
Questions fréquentes
L’OAuth par installation pour le Profil d’établissement Google est-il plus difficile à configurer ?
Marginalement. Dix minutes de plus, une seule fois à l’installation. Gratuit pour toute la vie du site.
Et si je gère plusieurs sites ?
Répétez l’assistant pour chacun. Ou utilisez le même projet Google Cloud avec des clients séparés, si vous préférez.
Google exige-t-il le par installation en production ?
Pour les extensions distribuées, oui. Les secrets partagés codés en dur enfreignent les Conditions d’utilisation.
Puis-je partager les identifiants avec mon agence ?
Oui, pour la configuration. Les identifiants résident sur le site, pas chez l’agence.
Vous voulez mettre en place votre Profil d’établissement Google sur une base OAuth sûre et conforme ? Defyn conçoit et maintient ces flux de travail pour les entreprises australiennes.
