Le credenziali OAuth per installazione per il Profilo dell’attivit\u00e0 su Google non sono solo una buona pratica di sicurezza. Sono un requisito dei Termini di servizio di Google. I plugin che condividono un client secret tra migliaia di siti violano le regole e mettono a rischio ogni sito. Ecco perch\u00e9.<\/p>\n\n
Alcuni plugin datati usano un unico client ID e secret OAuth inseriti nel codice per ogni cliente. Comodo. Economico. Insicuro. Una sola compromissione fa trapelare le credenziali di ogni sito che usa il plugin.<\/p>\n\n
Viola inoltre i Termini di servizio dell’API di Google per le applicazioni distribuite.<\/p>\n\n
Ogni sito crea il proprio progetto Google Cloud e il proprio client OAuth. Le credenziali risiedono solo su quel sito. GMB Poster ti guida con la procedura guidata di configurazione, cos\u00ec l’attrito \u00e8 minimo.<\/p>\n\n
Se un sito viene compromesso, il raggio d’impatto \u00e8 un solo sito. Il plugin GMB Poster mantiene pulito il confine di sicurezza.<\/p>\n\n
Anche le credenziali per installazione richiedono un’archiviazione cifrata. Il plugin cifra client ID e secret con AES-256-CBC usando una chiave derivata dalla costante AUTH_KEY del tuo sito. Le credenziali non compaiono mai in testo semplice da nessuna parte.<\/p>\n\n
Non compaiono mai nemmeno nelle risposte dell’API REST n\u00e9 nei ritorni AJAX dell’area di amministrazione.<\/p>\n\n
Genera un nuovo client secret nella Google Cloud Console quando vuoi. Incolla il nuovo valore nel plugin. L’archivio cifrato si aggiorna. I token di aggiornamento esistenti continuano a funzionare o si rinnovano al prossimo utilizzo.<\/p>\n\n
Ruota ogni anno o ogni volta che il personale con accesso lascia l’azienda.<\/p>\n\n
Per i siti soggetti al GDPR, al Privacy Act australiano o alle normative statali USA, l’OAuth per installazione semplifica l’audit. Le credenziali sono circoscritte a una sola attivit\u00e0. I flussi di dati sono chiari.<\/p>\n\n
I revisori preferiscono il modello pi\u00f9 semplice.<\/p>\n\n
Marginalmente. Dieci minuti in pi\u00f9, una sola volta all’installazione. Gratuito per tutta la vita del sito.<\/p>\n\n
Ripeti la procedura guidata per ciascuno. Oppure usa lo stesso progetto Google Cloud con client separati, se preferisci.<\/p>\n\n
Per i plugin distribuiti s\u00ec. I secret condivisi inseriti nel codice violano i Termini di servizio.<\/p>\n\n
S\u00ec, per la configurazione. Le credenziali risiedono sul sito, non presso l’agenzia.<\/p>\n\n