Le credenziali OAuth per installazione per il Profilo dell’attività su Google non sono solo una buona pratica di sicurezza. Sono un requisito dei Termini di servizio di Google. I plugin che condividono un client secret tra migliaia di siti violano le regole e mettono a rischio ogni sito. Ecco perché.
Cosa sbagliano i secret condivisi
Alcuni plugin datati usano un unico client ID e secret OAuth inseriti nel codice per ogni cliente. Comodo. Economico. Insicuro. Una sola compromissione fa trapelare le credenziali di ogni sito che usa il plugin.
Viola inoltre i Termini di servizio dell’API di Google per le applicazioni distribuite.
Come funziona il per installazione
Ogni sito crea il proprio progetto Google Cloud e il proprio client OAuth. Le credenziali risiedono solo su quel sito. GMB Poster ti guida con la procedura guidata di configurazione, così l’attrito è minimo.
Se un sito viene compromesso, il raggio d’impatto è un solo sito. Il plugin GMB Poster mantiene pulito il confine di sicurezza.
Archiviare le credenziali in sicurezza
Anche le credenziali per installazione richiedono un’archiviazione cifrata. Il plugin cifra client ID e secret con AES-256-CBC usando una chiave derivata dalla costante AUTH_KEY del tuo sito. Le credenziali non compaiono mai in testo semplice da nessuna parte.
Non compaiono mai nemmeno nelle risposte dell’API REST né nei ritorni AJAX dell’area di amministrazione.
Ruotare le credenziali
Genera un nuovo client secret nella Google Cloud Console quando vuoi. Incolla il nuovo valore nel plugin. L’archivio cifrato si aggiorna. I token di aggiornamento esistenti continuano a funzionare o si rinnovano al prossimo utilizzo.
Ruota ogni anno o ogni volta che il personale con accesso lascia l’azienda.
Conformità e audit
Per i siti soggetti al GDPR, al Privacy Act australiano o alle normative statali USA, l’OAuth per installazione semplifica l’audit. Le credenziali sono circoscritte a una sola attività. I flussi di dati sono chiari.
I revisori preferiscono il modello più semplice.
Domande frequenti
L’OAuth per installazione per il Profilo dell’attività su Google è più difficile da configurare?
Marginalmente. Dieci minuti in più, una sola volta all’installazione. Gratuito per tutta la vita del sito.
E se gestisco più siti?
Ripeti la procedura guidata per ciascuno. Oppure usa lo stesso progetto Google Cloud con client separati, se preferisci.
Google richiede il per installazione in produzione?
Per i plugin distribuiti sì. I secret condivisi inseriti nel codice violano i Termini di servizio.
Posso condividere le credenziali con la mia agenzia?
Sì, per la configurazione. Le credenziali risiedono sul sito, non presso l’agenzia.
Vuoi impostare il tuo Profilo dell’attività su Google su basi OAuth sicure e conformi? Defyn progetta e mantiene questi flussi di lavoro per le aziende australiane.
