In der folgenden Tabelle sind die Anmeldedaten zusammengefasst, die eine App verwalten muss. Weitere Informationen zu App-Typen finden Sie in der Google Identity OAuth 2.0 Dokumentation.
| Authentifizierungsvorgang | Anmeldedaten | Art der Anmeldedaten | Zweck |
|---|---|---|---|
|
JavaScript-Web-Apps Android-Apps |
OAuth-Client-ID | App-Anmeldedaten | Dient zur eindeutigen Identifizierung der App während eines OAuth-Ablaufs. |
| Zugriffstoken und Aktualisierungstoken | Nutzeranmeldedaten | Stellt die Autorisierung des Nutzers dar, der der App erlaubt, in seinem Namen auf sein Google Ads Konto zuzugreifen. | |
|
Serverseitige Web-Apps Desktop- und iOS-Apps TV- und Geräte-Apps |
OAuth-Client-ID und Clientschlüssel | App-Anmeldedaten | Dient zur eindeutigen Identifizierung der App während eines OAuth-Ablaufs. |
| Zugriffstoken und Aktualisierungstoken | Nutzeranmeldedaten | Stellt die Autorisierung des Nutzers dar, der der App erlaubt, in seinem Namen auf sein Google Ads Konto zuzugreifen. | |
| Dienstkonten | OAuth-Dienstkontoschlüssel | App-Anmeldedaten | Wird zum Signieren der OAuth-Anfrage verwendet. |
| Zugriffstoken des Dienstkontos | Nutzeranmeldedaten | Stellt die Autorisierung des Dienstkontos dar, wenn ein Nutzer sein Google Ads-Konto für das Dienstkonto freigibt. |
Bei der Verwaltung von Anmeldedaten für eine Google Ads API-App sind mehrere Punkte zu beachten.
App-Anmeldedaten sicher verwalten
App-Anmeldedaten beziehen sich auf Einstellungen, die spezifisch für Ihre App sind und sich nicht von Nutzer zu Nutzer unterscheiden. Behandeln Sie Ihre OAuth-App-Anmeldedaten mit äußerster Sorgfalt, da sie jedem, der sie hat, ermöglichen, die Identität Ihrer App zu verwenden, um Zugriff auf Nutzerinformationen zu erhalten. Bewahren Sie Ihre OAuth-App-Anmeldedaten an einem sicheren Ort auf und schützen Sie sie wie ein Passwort. Verwenden Sie nach Möglichkeit einen Secret Manager wie Google Cloud Secret Manager, um App-Anmeldedaten zu speichern. Sie dürfen Clientschlüssel niemals in öffentlich zugänglichen Code-Repositories speichern. Wir empfehlen dringend, sie nicht in einem Code-Repository zu speichern.
Nutzeranmeldedaten sicher verwalten
Nutzeranmeldedaten beziehen sich auf OAuth-Tokens, die die Autorisierung des Nutzers darstellen. Sie werden Ihnen von Nutzern anvertraut, die Ihnen die Berechtigung erteilen, in ihrem Namen zu handeln und auf Daten zuzugreifen. Dies kann entweder direkt durch die Authentifizierung Ihrer App oder indirekt durch die Freigabe ihres Google Ads-Kontos für Ihr Dienstkonto erfolgen. Übertragen Sie Tokens niemals im Klartext und speichern Sie verschlüsselte Tokens immer im Ruhezustand, um im Falle einer Datenpanne zusätzlichen Schutz zu bieten. Widerrufen Sie Tokens oder Dienstkontoberechtigungen, wenn Sie keinen Zugriff mehr auf das Konto eines Nutzers benötigen. Nachdem die Tokens widerrufen wurden, löschen Sie sie endgültig aus Ihrer Anwendung oder Ihrem System.
Umgang mit dem Widerruf und Ablauf von Aktualisierungstokens
Wenn Sie einen Nutzerauthentifizierungsvorgang verwenden, können Aktualisierungstokens jederzeit ungültig gemacht werden. Wenn Sie beispielsweise einen Authentifizierungsvorgang für mehrere Nutzer verwenden, kann der Nutzer den Zugriff auf Ihre App widerrufen. Bei einer App, die einen Authentifizierungsvorgang für einen einzelnen Nutzer verwendet, ist es weniger wahrscheinlich, dass dies geschieht. Ein manueller oder automatisierter Prozess zum Schutz von Nutzern kann jedoch das Aktualisierungstoken löschen oder es kann ablaufen. Wenn Ihre App eine Benachrichtigung über den Widerruf von Tokens benötigt, um Nutzern eine gute Nutzererfahrung zu bieten, müssen Sie sie in den produktübergreifender Kontoschutz-Dienst einbinden.
Nutzeranmeldedaten für alle API-Anfragen wiederverwenden
OAuth-Zugriffstokens sind kurzlebig und laufen nach einer Stunde ab. Wenn Sie eine Google Ads API-Clientbibliothek verwenden, werden Ablauf und Aktualisierung von Zugriffstokens von der Bibliothek threadsicher verwaltet. Erstellen Sie ein Google Ads API-Clientobjekt mit den entsprechenden OAuth-Anmeldedaten und verwenden Sie es während seiner gesamten Lebensdauer wieder.
Wenn Sie Ihre eigene Strategie zur Aktualisierung und Verwaltung von Zugriffstokens entwickeln, verfolgen Sie den Ablauf des Zugriffstokens und verwenden Sie Tokens wieder, solange sie gültig sind. Wenn Sie
eine Tokenaktualisierung anfordern, gibt der Autorisierungsserver ein neues Zugriffstoken
zusammen mit der verbleibenden Lebensdauer in Sekunden
(expires_in) zurück. Wir empfehlen, das Zugriffstoken proaktiv zu aktualisieren, wenn weniger als 5 Minuten bis zum Ablauf verbleiben.