এই নির্দেশিকাটি দেখায় কিভাবে আপনার অ্যাপ্লিকেশন এবং ব্যবহারকারীর পরিচয়পত্র সুরক্ষিত রাখা যায়।
OAuth অ্যাপ যাচাইকরণ সম্পূর্ণ করুন
Google Ads API-এর জন্য OAuth 2.0 স্কোপটিকে একটি সীমাবদ্ধ স্কোপ হিসেবে শ্রেণীবদ্ধ করা হয়েছে, যার অর্থ হলো আপনার অ্যাপ্লিকেশনটি প্রোডাকশনে আনার আগে OAuth অ্যাপ যাচাইকরণ প্রক্রিয়াটি সম্পন্ন করতে হবে। আরও জানতে Google Identity ডকুমেন্টেশন , যাচাইবিহীন অ্যাপ সম্পর্কিত হেল্প সেন্টার আর্টিকেল এবং OAuth কনসেন্ট স্ক্রিন সেট আপ করার ডকুমেন্টেশন দেখুন।
অ্যাপ্লিকেশনটির পরিচয়পত্র সুরক্ষিত করুন।
আপনার অ্যাপ্লিকেশনের OAuth 2.0 ক্লায়েন্ট আইডি এবং ক্লায়েন্ট সিক্রেট সুরক্ষিত রাখা উচিত। এই ক্রেডেনশিয়ালগুলো আপনার ব্যবহারকারী এবং গুগলকে আপনার অ্যাপ্লিকেশন শনাক্ত করতে সাহায্য করে, তাই এগুলো সাবধানে ব্যবহার করা উচিত। এই অ্যাপ্লিকেশন ক্রেডেনশিয়ালগুলোকে পাসওয়ার্ডের মতোই বিবেচনা করা উচিত। পাবলিক ফোরামে পোস্ট করা, ইমেল অ্যাটাচমেন্টে এই ক্রেডেনশিয়ালগুলোসহ কনফিগারেশন ফাইল পাঠানো, ক্রেডেনশিয়ালগুলো হার্ড কোড করা, বা কোনো কোড রিপোজিটরিতে কমিট করার মতো অসুরক্ষিত পদ্ধতির মাধ্যমে এগুলো শেয়ার করবেন না। সম্ভব হলে আমরা গুগল ক্লাউড সিক্রেট ম্যানেজার বা এডব্লিউএস সিক্রেট ম্যানেজারের মতো সিক্রেট ম্যানেজার ব্যবহার করার পরামর্শ দিই।
যদি আপনার OAuth 2.0 ক্লায়েন্ট সিক্রেটগুলো ফাঁস হয়ে যায়, তাহলে আপনি সেগুলো রিসেট করতে পারেন।
পরিষেবা অ্যাকাউন্টগুলি সুরক্ষিত করুন
আপনি যদি সার্ভিস অ্যাকাউন্ট ব্যবহার করেন, তবে সেগুলোকে নিম্নোক্তভাবে সুরক্ষিত করুন:
আপনার সার্ভিস অ্যাকাউন্ট কী এবং JSON ফাইলকে পাসওয়ার্ড হিসেবে ব্যবহার করুন। সম্ভব হলে Google Cloud Secret Manager বা AWS Secret Manager-এর মতো সিক্রেট ম্যানেজার ব্যবহার করে সেগুলোকে সুরক্ষিত করুন।
আপনার পরিষেবা অ্যাকাউন্টগুলি সুরক্ষিত ও পরিচালনা করতে গুগল ক্লাউডের অতিরিক্ত সেরা অনুশীলনগুলি অনুসরণ করুন।
ব্যবহারকারীর টোকেনগুলি সুরক্ষিত করুন
আপনার অ্যাপ যদি একাধিক ব্যবহারকারীকে অনুমোদন দেয়, তবে ব্যবহারকারীদের রিফ্রেশ এবং অ্যাক্সেস টোকেন সুরক্ষিত রাখতে আপনার অতিরিক্ত পদক্ষেপ নেওয়া উচিত। টোকেনগুলো নিরাপদে সংরক্ষণ করুন এবং কখনোই সেগুলোকে প্লেইন টেক্সটে প্রেরণ করবেন না। আপনার প্ল্যাটফর্মের জন্য উপযুক্ত একটি সুরক্ষিত স্টোরেজ সিস্টেম ব্যবহার করুন।
রিফ্রেশ টোকেন বাতিলকরণ এবং মেয়াদোত্তীর্ণ হওয়া পরিচালনা করুন
যদি আপনার অ্যাপ অনুমোদনের অংশ হিসেবে OAuth 2.0 রিফ্রেশ টোকেনের অনুরোধ করে, তবে আপনাকে অবশ্যই সেগুলোর অবৈধ হয়ে যাওয়া বা মেয়াদ শেষ হয়ে যাওয়ার বিষয়টিও সামলাতে হবে। বিভিন্ন কারণে রিফ্রেশ টোকেন অবৈধ হয়ে যেতে পারে, এবং আপনার অ্যাপ্লিকেশনের উচিত হয় পরবর্তী লগইন সেশনে ব্যবহারকারীকে পুনরায় অনুমোদন দিয়ে, অথবা প্রয়োজন অনুযায়ী তাদের ডেটা মুছে ফেলে যথাযথভাবে এর প্রতিক্রিয়া জানানো। ক্রন জবের মতো অফলাইন জবগুলোর উচিত ব্যর্থ অনুরোধ চালিয়ে যাওয়ার পরিবর্তে, যেসব অ্যাকাউন্টের রিফ্রেশ টোকেনের মেয়াদ শেষ হয়ে গেছে সেগুলোকে শনাক্ত ও রেকর্ড করা। এপিআই সার্ভারগুলোর স্থিতিশীলতা বজায় রাখার জন্য, গুগল এমন অ্যাপ্লিকেশনগুলোর গতি কমিয়ে দিতে পারে যেগুলো দীর্ঘ সময় ধরে উচ্চ মাত্রার ত্রুটি তৈরি করে।
একাধিক স্কোপের জন্য সম্মতি পরিচালনা করুন
যদি আপনার অ্যাপ একাধিক OAuth 2.0 স্কোপের জন্য অনুমোদন চায়, তাহলে ব্যবহারকারী আপনার অনুরোধ করা সমস্ত OAuth স্কোপের অনুমতি নাও দিতে পারেন। স্কোপের অনুমতি না দেওয়ার বিষয়টি আপনার অ্যাপের উচিত প্রাসঙ্গিক ফিচারগুলো নিষ্ক্রিয় করে দেওয়া। ব্যবহারকারী যখন স্পষ্টভাবে সেই নির্দিষ্ট ফিচারটি ব্যবহার করার ইচ্ছা প্রকাশ করবেন, কেবল তখনই আপনি তাকে আবার অনুরোধ করতে পারেন। এই ধরনের ক্ষেত্রে যথাযথ OAuth স্কোপের জন্য অনুরোধ করতে ইনক্রিমেন্টাল অথরাইজেশন ব্যবহার করুন।
আপনার অ্যাপের মৌলিক বৈশিষ্ট্যগুলোর জন্য যদি একাধিক স্কোপের প্রয়োজন হয়, তবে সম্মতি চাওয়ার আগে ব্যবহারকারীকে এই প্রয়োজনীয়তাটি ব্যাখ্যা করুন।