Bảng sau đây tóm tắt các thông tin xác thực mà một ứng dụng phải quản lý. Để biết thêm thông tin về các loại ứng dụng, hãy xem tài liệu về Google Identity OAuth 2.0.
| Quy trình xác thực | Thông tin xác thực | Loại thông tin xác thực | Mục đích |
|---|---|---|---|
|
Ứng dụng web JavaScript Ứng dụng Android |
Mã ứng dụng khách OAuth | Thông tin xác thực ứng dụng | Xác định duy nhất ứng dụng trong quy trình OAuth. |
| Mã truy cập và mã làm mới | Thông tin xác thực người dùng | Đại diện cho quyền uỷ quyền của người dùng để cho phép ứng dụng truy cập vào tài khoản Google Ads của họ thay mặt họ. | |
|
Ứng dụng web phía máy chủ Ứng dụng dành cho máy tính và iOS Ứng dụng dành cho TV và thiết bị |
Mã ứng dụng khách OAuth và khoá bí mật của ứng dụng khách | Thông tin xác thực ứng dụng | Xác định duy nhất ứng dụng trong quy trình OAuth. |
| Mã truy cập và mã làm mới | Thông tin xác thực người dùng | Đại diện cho quyền uỷ quyền của người dùng để cho phép ứng dụng truy cập vào tài khoản Google Ads của họ thay mặt họ. | |
| Tài khoản dịch vụ | Khoá tài khoản dịch vụ OAuth | Thông tin xác thực ứng dụng | Dùng để ký yêu cầu OAuth. |
| Mã truy cập của tài khoản dịch vụ | Thông tin xác thực người dùng | Đại diện cho quyền uỷ quyền của tài khoản dịch vụ khi người dùng chia sẻ tài khoản Google Ads của họ với tài khoản dịch vụ. |
Bạn cần cân nhắc một số điểm khi quản lý thông tin xác thực cho ứng dụng Google Ads API.
Xử lý thông tin xác thực ứng dụng một cách an toàn
Thông tin xác thực ứng dụng đề cập đến các chế độ cài đặt dành riêng cho ứng dụng của bạn và không thay đổi từ người dùng này sang người dùng khác. Hãy xử lý thông tin xác thực ứng dụng OAuth một cách cẩn thận, vì thông tin này cho phép bất kỳ ai có thông tin đó sử dụng danh tính của ứng dụng để truy cập vào thông tin người dùng. Hãy lưu trữ thông tin xác thực ứng dụng OAuth ở một nơi an toàn và bảo vệ thông tin đó, giống như cách bạn bảo vệ mật khẩu. Nếu có thể, hãy sử dụng trình quản lý thông tin bí mật, chẳng hạn như Google Cloud Secret Manager, để lưu trữ thông tin xác thực ứng dụng. Bạn không bao giờ được chuyển thông tin xác thực ứng dụng khách vào kho lưu trữ mã có sẵn công khai. Bạn không nên chuyển thông tin xác thực ứng dụng khách vào bất kỳ kho lưu trữ mã nào.
Xử lý thông tin xác thực người dùng một cách an toàn
Thông tin xác thực người dùng đề cập đến các mã thông báo OAuth đại diện cho quyền uỷ quyền của người dùng. Người dùng tin tưởng giao thông tin này cho bạn để bạn có quyền hành động và truy cập vào dữ liệu thay mặt họ – trực tiếp bằng cách xác thực ứng dụng của bạn hoặc gián tiếp bằng cách chia sẻ tài khoản Google Ads của họ với tài khoản dịch vụ của bạn. Tuyệt đối không truyền mã thông báo ở dạng văn bản thuần tuý và luôn lưu trữ mã thông báo đã mã hoá ở trạng thái nghỉ để cung cấp thêm một lớp bảo vệ trong trường hợp rò rỉ dữ liệu. Thu hồi mã thông báo hoặc quyền của tài khoản dịch vụ khi bạn không còn cần quyền truy cập vào tài khoản của người dùng nữa. Sau khi thu hồi mã thông báo, hãy xoá vĩnh viễn mã thông báo đó khỏi ứng dụng hoặc hệ thống của bạn.
Xử lý việc thu hồi và hết hạn mã làm mới
Nếu bạn sử dụng quy trình xác thực người dùng, hãy lưu ý rằng mã làm mới có thể bị vô hiệu hoá bất cứ lúc nào. Ví dụ: nếu bạn sử dụng quy trình xác thực nhiều người dùng, thì người dùng có thể chọn thu hồi quyền truy cập vào ứng dụng của bạn. Mặc dù ứng dụng sử dụng quy trình xác thực một người dùng ít bị ảnh hưởng theo cách này hơn, nhưng một quy trình thủ công hoặc tự động được thiết kế để bảo vệ người dùng vẫn có thể xoá mã làm mới hoặc mã làm mới có thể hết hạn. Nếu ứng dụng của bạn yêu cầu thông báo về việc thu hồi mã thông báo để mang lại trải nghiệm tốt cho người dùng, thì bạn phải tích hợp với dịch vụ Bảo vệ nhiều tài khoản.
Tái sử dụng thông tin xác thực người dùng trên các yêu cầu API
Mã truy cập OAuth có thời hạn ngắn và hết hạn sau một giờ. Nếu bạn sử dụng thư viện ứng dụng Google Ads API, thì thư viện sẽ xử lý việc hết hạn và làm mới mã truy cập theo cách an toàn cho luồng. Tạo một đối tượng ứng dụng Google Ads API bằng thông tin xác thực OAuth thích hợp và tái sử dụng đối tượng đó trong suốt thời gian tồn tại của đối tượng.
Nếu bạn tự xây dựng chiến lược làm mới và quản lý mã truy cập, hãy theo dõi thời gian hết hạn của mã truy cập và tái sử dụng mã thông báo khi mã đó vẫn còn hợp lệ. Khi bạn
yêu cầu làm mới mã thông báo, máy chủ uỷ quyền sẽ trả về một mã truy cập mới
cùng với thời gian còn lại tính bằng giây
(expires_in). Bạn nên chủ động làm mới mã truy cập nếu còn
ít hơn 5 phút trước khi hết hạn.