Les identifiants chiffr\u00e9s devraient \u00eatre la norme dans les extensions pour le Profil d’\u00e9tablissement Google. Les extensions qui stockent les secrets client OAuth en texte clair mettent en danger votre entreprise et vos clients. Ce guide explique ce qu’il faut attendre d’une extension bien con\u00e7ue en 2026.<\/p>\n\n
Les secrets OAuth donnent un acc\u00e8s complet \u00e0 votre Profil d’\u00e9tablissement Google. Un secret divulgu\u00e9 peut servir \u00e0 publier en votre nom, lire vos avis et polluer vos statistiques. Le stockage en texte clair dans la table des options est la surface d’attaque la plus courante.<\/p>\n\n
Le chiffrement au repos bloque le vecteur d’attaque du vidage de base de donn\u00e9es.<\/p>\n\n
GMB Poster utilise un chiffrement AES-256-CBC bas\u00e9 sur la constante AUTH_KEY de votre site. La cl\u00e9 de chiffrement n’appara\u00eet jamais dans la base de donn\u00e9es. Les identifiants sont chiffr\u00e9s avant l’\u00e9criture et d\u00e9chiffr\u00e9s uniquement au moment de l’appel \u00e0 l’API Google.<\/p>\n\n
L’extension GMB Poster ne journalise jamais les identifiants et ne les renvoie jamais dans les r\u00e9ponses de l’API REST.<\/p>\n\n
Examinez directement la table des options. Recherchez votre secret client OAuth. Si vous le trouvez en texte clair, l’extension n’est pas s\u00fbre. Si vous trouvez des octets chiffr\u00e9s, l’extension fait les choses correctement.<\/p>\n\n
V\u00e9rifiez les r\u00e9ponses de l’API REST pour tout champ cens\u00e9 rester priv\u00e9. Si le secret appara\u00eet dans une r\u00e9ponse, c’est une fuite.<\/p>\n\n
Faites tourner les secrets OAuth au d\u00e9part d’un collaborateur, en cas de suspicion de compromission, ou chaque ann\u00e9e par hygi\u00e8ne. Le stockage chiffr\u00e9 rend la rotation triviale, car l’extension g\u00e8re automatiquement le rechiffrement.<\/p>\n\n
Documentez qui a acc\u00e8s \u00e0 la rotation des identifiants dans votre plan de r\u00e9ponse aux incidents.<\/p>\n\n
Les jetons d’acc\u00e8s et les jetons d’actualisation sont tout aussi sensibles et n\u00e9cessitent le m\u00eame chiffrement. Certaines extensions chiffrent le secret client mais laissent les jetons en texte clair. C’est encore une fuite.<\/p>\n\n
V\u00e9rifiez que tout le cycle de vie des identifiants est prot\u00e9g\u00e9.<\/p>\n\n
Pour les nouvelles extensions, oui. Les plus anciennes sont in\u00e9gales. Auditez votre extension avant de lui confier des identifiants de production.<\/p>\n\n
Vous devrez saisir \u00e0 nouveau les identifiants. L’extension ne peut pas d\u00e9chiffrer l’ancien stockage avec une nouvelle cl\u00e9.<\/p>\n\n
Elle fait partie de la s\u00e9curit\u00e9 du c\u0153ur de WordPress. Traitez-la comme tout autre secret. Faites-la tourner avec soin.<\/p>\n\n
Non. Le d\u00e9chiffrement prend des microsecondes par appel.<\/p>\n\n