Les identifiants OAuth par installation pour le Profil d’\u00e9tablissement Google ne sont pas qu’une bonne pratique de s\u00e9curit\u00e9. Ils sont une exigence des Conditions d’utilisation de Google. Les extensions qui partagent un secret client sur des milliers de sites enfreignent les r\u00e8gles et mettent chaque site en danger. Voici pourquoi.<\/p>\n\n
Certaines anciennes extensions utilisent un seul identifiant client et secret OAuth cod\u00e9s en dur pour tous les clients. Pratique. \u00c9conomique. Non s\u00e9curis\u00e9. Une seule compromission divulgue les identifiants de tous les sites qui utilisent l’extension.<\/p>\n\n
Cela enfreint aussi les Conditions d’utilisation de l’API Google pour les applications distribu\u00e9es.<\/p>\n\n
Chaque site cr\u00e9e son propre projet Google Cloud et son client OAuth. Les identifiants ne r\u00e9sident que sur ce site. GMB Poster vous guide dans l’assistant de configuration, si bien que la friction est minime.<\/p>\n\n
Si un site est compromis, le rayon d’impact est d’un seul site. L’extension GMB Poster garde la fronti\u00e8re de s\u00e9curit\u00e9 nette.<\/p>\n\n
M\u00eame les identifiants par installation ont besoin d’un stockage chiffr\u00e9. L’extension chiffre l’identifiant client et le secret avec AES-256-CBC au moyen d’une cl\u00e9 d\u00e9riv\u00e9e de la constante AUTH_KEY de votre site. Les identifiants n’apparaissent jamais en texte clair nulle part.<\/p>\n\n
Ils n’apparaissent jamais non plus dans les r\u00e9ponses de l’API REST ni dans les retours AJAX de l’administration.<\/p>\n\n
G\u00e9n\u00e9rez un nouveau secret client dans la Google Cloud Console quand vous voulez. Collez la nouvelle valeur dans l’extension. Le stockage chiffr\u00e9 se met \u00e0 jour. Les jetons d’actualisation existants continuent de fonctionner ou se renouvellent \u00e0 la prochaine utilisation.<\/p>\n\n
Faites tourner chaque ann\u00e9e ou d\u00e8s qu’un collaborateur ayant acc\u00e8s s’en va.<\/p>\n\n
Pour les sites soumis au RGPD, \u00e0 la loi australienne sur la vie priv\u00e9e ou aux r\u00e8gles au niveau des \u00c9tats am\u00e9ricains, l’OAuth par installation simplifie l’audit. Les identifiants sont limit\u00e9s \u00e0 une seule entreprise. Les flux de donn\u00e9es sont clairs.<\/p>\n\n
Les auditeurs pr\u00e9f\u00e8rent le mod\u00e8le plus simple.<\/p>\n\n
Marginalement. Dix minutes de plus, une seule fois \u00e0 l’installation. Gratuit pour toute la vie du site.<\/p>\n\n
R\u00e9p\u00e9tez l’assistant pour chacun. Ou utilisez le m\u00eame projet Google Cloud avec des clients s\u00e9par\u00e9s, si vous pr\u00e9f\u00e9rez.<\/p>\n\n
Pour les extensions distribu\u00e9es, oui. Les secrets partag\u00e9s cod\u00e9s en dur enfreignent les Conditions d’utilisation.<\/p>\n\n
Oui, pour la configuration. Les identifiants r\u00e9sident sur le site, pas chez l’agence.<\/p>\n\n