A tabela a seguir resume as credenciais que um app precisa gerenciar. Para mais informações sobre tipos de apps, consulte a documentação do OAuth 2.0 do Google Identity.
| Fluxo de trabalho de autenticação | Credencial | Tipo de credencial | Finalidade |
|---|---|---|---|
|
Apps da Web em JavaScript Apps Android |
ID do cliente OAuth | Credenciais do app | Identifica exclusivamente o app durante um fluxo do OAuth. |
| Token de acesso e token de atualização | Credenciais do usuário | Representa a autorização do usuário para que o app acesse a conta do Google Ads em nome dele. | |
|
Apps da Web do lado do servidor Apps para computador e iOS Apps para TV e dispositivos |
ID do cliente OAuth e chave secreta do cliente | Credenciais do app | Identifica exclusivamente o app durante um fluxo do OAuth. |
| Token de acesso e token de atualização | Credenciais do usuário | Representa a autorização do usuário para que o app acesse a conta do Google Ads em nome dele. | |
| Contas de serviço | Chave da conta de serviço do OAuth | Credenciais do app | Usado para assinar a solicitação do OAuth. |
| Token de acesso da conta de serviço | Credenciais do usuário | Representa a autorização da conta de serviço quando um usuário compartilha a conta do Google Ads com ela. |
Há vários pontos a considerar ao gerenciar credenciais para um app da API Google Ads.
Processar credenciais de apps com segurança
As credenciais do app se referem a configurações específicas do seu app e não variam de um usuário para outro. Trate as credenciais do app OAuth com extremo cuidado, já que elas permitem que qualquer pessoa que as tenha use a identidade do app para acessar as informações do usuário. Armazene as credenciais do app OAuth em um local seguro e proteja-as, assim como você faria com uma senha. Sempre que possível, use um gerenciador de secrets, como o Secret Manager do Google Cloud, para armazenar credenciais de apps. Nunca confirme as credenciais do cliente em repositórios de código disponíveis publicamente. Recomendamos que você evite enviá-las para qualquer repositório de código.
Processar as credenciais do usuário com segurança
As credenciais de usuário se referem aos tokens OAuth que representam a autorização do usuário. Eles são confiados a você por usuários que dão permissão para agir e acessar dados em nome deles, seja diretamente, autenticando seu app, ou indiretamente, compartilhando a conta do Google Ads com sua conta de serviço. Nunca transmita tokens em texto simples e sempre armazene tokens criptografados em repouso para fornecer uma camada extra de proteção em caso de violação de dados. Revogue tokens ou permissões de conta de serviço quando não precisar mais de acesso à conta de um usuário. Depois que os tokens forem revogados, exclua-os permanentemente do seu aplicativo ou sistema.
Processar a revogação e a expiração do token de atualização
Se você usar um fluxo de autenticação de usuário, lembre-se de que os tokens de atualização podem ser invalidado a qualquer momento. Por exemplo, se você usa um fluxo de autenticação multiusuário, o usuário pode revogar o acesso ao seu app. Embora um app que use um fluxo de autenticação de usuário único tenha menos probabilidade de ser afetado dessa forma, um processo manual ou automatizado projetado para proteger os usuários ainda pode limpar o token de atualização ou o token de atualização pode expirar. Se o app exigir notificação de revogação de token para oferecer uma boa experiência aos usuários, você precisará fazer a integração com o serviço de Proteção entre Contas.
Reutilizar credenciais de usuário nas solicitações de API
Os tokens de acesso do OAuth têm curta duração e expiram após uma hora. Se você usa uma biblioteca de cliente da API Google Ads, ela processa a expiração e as atualizações do token de acesso de maneira thread-safe. Crie um objeto de cliente da API Google Ads com as credenciais OAuth adequadas e reutilize-o durante todo o ciclo de vida.
Se você criar sua própria estratégia de atualização e gerenciamento de tokens de acesso, acompanhe a
validade deles e reutilize-os enquanto forem válidos. Quando você
solicita uma atualização de token, o servidor de autorização retorna um novo token de acesso
com o tempo de vida restante em segundos
(expires_in). Recomendamos atualizar proativamente o token de acesso se houver
menos de 5 minutos restantes antes da expiração.