এই নির্দেশিকাটি দেখায় কিভাবে আপনার অ্যাপ্লিকেশন এবং ব্যবহারকারীর শংসাপত্রগুলি সুরক্ষিত রাখা যায়।
OAuth অ্যাপ যাচাইকরণ সম্পূর্ণ করুন
Google Ads API-এর জন্য OAuth 2.0 স্কোপকে একটি সীমাবদ্ধ স্কোপ হিসেবে শ্রেণীবদ্ধ করা হয়েছে, যার অর্থ হল আপনার অ্যাপ্লিকেশন তৈরি করার আগে আপনাকে OAuth অ্যাপ্লিকেশন যাচাইকরণ প্রক্রিয়াটি সম্পূর্ণ করতে হবে। আরও জানতে Google পরিচয় ডকুমেন্টেশন , যাচাই না করা অ্যাপ সম্পর্কে সহায়তা কেন্দ্রের নিবন্ধ এবং OAuth সম্মতি স্ক্রিন সেট আপ করার বিষয়ে ডক্স দেখুন।
আবেদনের শংসাপত্রগুলি সুরক্ষিত করুন
আপনার অ্যাপ্লিকেশনের OAuth 2.0 ক্লায়েন্ট আইডি এবং ক্লায়েন্ট সিক্রেট সুরক্ষিত করা উচিত। এই শংসাপত্রগুলি আপনার ব্যবহারকারীদের এবং Google কে আপনার অ্যাপ্লিকেশন সনাক্ত করতে সাহায্য করে এবং তাই এগুলি সাবধানে পরিচালনা করা উচিত। আপনার এই অ্যাপ্লিকেশন শংসাপত্রগুলিকে পাসওয়ার্ডের মতো বিবেচনা করা উচিত। পাবলিক ফোরামে পোস্ট করা, ইমেল সংযুক্তিতে এই শংসাপত্রগুলি ধারণকারী কনফিগারেশন ফাইল পাঠানো, শংসাপত্রগুলি হার্ড কোডিং করা বা কোড সংগ্রহস্থলে জমা দেওয়ার মতো অনিরাপদ পদ্ধতি ব্যবহার করে এগুলি শেয়ার করবেন না। আমরা সম্ভব হলে Google Cloud Secret manager বা AWS Secret manager এর মতো একটি গোপন ব্যবস্থা ব্যবহার করার পরামর্শ দিই।
যদি আপনার OAuth 2.0 ক্লায়েন্টের গোপনীয়তাগুলি আপোস করা হয়, তাহলে আপনি সেগুলি পুনরায় সেট করতে পারেন। একটি ডেভেলপার টোকেনও পুনরায় সেট করা যেতে পারে।
ডেভেলপার টোকেন সুরক্ষিত করুন
ডেভেলপার টোকেন আপনাকে একটি অ্যাকাউন্টে API কল করতে দেয়, তবে কল করার জন্য কোন অ্যাকাউন্ট ব্যবহার করা যেতে পারে তার উপর কোনও বিধিনিষেধ নেই। ফলস্বরূপ, একটি আপোস করা ডেভেলপার টোকেন অন্য কেউ আপনার অ্যাপ্লিকেশনের সাথে সম্পর্কিত কল করতে ব্যবহার করতে পারে। এই পরিস্থিতি এড়াতে, এই প্রতিরোধমূলক ব্যবস্থাগুলি গ্রহণ করুন:
আপনার ডেভেলপার টোকেনকে পাসওয়ার্ডের মতো ব্যবহার করুন। পাবলিক ফোরামে পোস্ট করা বা ইমেল সংযুক্তি হিসাবে ডেভেলপার টোকেন ধারণকারী কনফিগারেশন ফাইল পাঠানোর মতো অনিরাপদ পদ্ধতি ব্যবহার করে এটি শেয়ার করবেন না। আমরা সম্ভব হলে Google ক্লাউড সিক্রেট ম্যানেজার বা AWS সিক্রেট ম্যানেজারের মতো গোপন ব্যবস্থাপক ব্যবহার করার পরামর্শ দিই।
যদি আপনার ডেভেলপার টোকেনটি ক্ষতিগ্রস্ত হয়, তাহলে আপনার এটি পুনরায় সেট করা উচিত।
- Google Ads API-এর জন্য আবেদন করার সময় আপনি যে Google Ads ম্যানেজার অ্যাকাউন্টটি ব্যবহার করেছিলেন, তাতে সাইন ইন করুন।
- টুলস এবং সেটিংস > API সেন্টারে নেভিগেট করুন।
- ডেভেলপার টোকেনের পাশের ড্রপ-ডাউন তীরটিতে ক্লিক করুন।
- রিসেট টোকেন লিঙ্কে ক্লিক করুন। আপনার পুরানো ডেভেলপার টোকেনটি অবিলম্বে কাজ করা বন্ধ করে দেবে।
- নতুন ডেভেলপার টোকেন ব্যবহার করতে আপনার অ্যাপ্লিকেশনের উৎপাদন কনফিগারেশন আপডেট করুন।
পরিষেবা অ্যাকাউন্টগুলি সুরক্ষিত করুন
Google Ads API-এর সাথে সঠিকভাবে কাজ করার জন্য পরিষেবা অ্যাকাউন্টগুলির ডোমেন-ওয়াইড ছদ্মবেশ প্রয়োজন। এছাড়াও, ডোমেন-ওয়াইড ছদ্মবেশ সেট আপ করার জন্য আপনাকে Google Workspace গ্রাহক হতে হবে। এই কারণে, আমরা Google Ads API কল করার সময় পরিষেবা অ্যাকাউন্ট ব্যবহার না করার পরামর্শ দিই। তবে, আপনি যদি পরিষেবা অ্যাকাউন্ট ব্যবহার করার সিদ্ধান্ত নেন, তাহলে আপনার সেগুলি নিম্নলিখিতভাবে সুরক্ষিত করা উচিত:
আপনার সার্ভিস অ্যাকাউন্ট কী এবং JSON ফাইলকে পাসওয়ার্ড হিসেবে ব্যবহার করুন। সম্ভব হলে Google Cloud Secret manager বা AWS Secret Manager এর মতো গোপন ব্যবস্থাপক ব্যবহার করে এগুলি সুরক্ষিত করুন।
আপনার পরিষেবা অ্যাকাউন্টগুলি সুরক্ষিত এবং পরিচালনা করতে Google ক্লাউডের অতিরিক্ত সেরা অনুশীলনগুলি অনুসরণ করুন।
ব্যবহারকারীর টোকেন সুরক্ষিত করুন
যদি আপনার অ্যাপ একাধিক ব্যবহারকারীকে অনুমোদন দেয়, তাহলে ব্যবহারকারীদের রিফ্রেশ এবং অ্যাক্সেস টোকেনগুলি সুরক্ষিত করার জন্য আপনার অতিরিক্ত পদক্ষেপ নেওয়া উচিত। টোকেনগুলি নিরাপদে বিশ্রামে সংরক্ষণ করুন এবং কখনও প্লেইন টেক্সটে প্রেরণ করবেন না। আপনার প্ল্যাটফর্মের জন্য উপযুক্ত একটি নিরাপদ স্টোরেজ সিস্টেম ব্যবহার করুন।
রিফ্রেশ টোকেন প্রত্যাহার এবং মেয়াদ শেষ করার পদ্ধতি পরিচালনা করুন
যদি আপনার অ্যাপটি অনুমোদনের অংশ হিসেবে OAuth 2.0 রিফ্রেশ টোকেনের অনুরোধ করে, তাহলে আপনাকে তাদের অবৈধকরণ বা মেয়াদোত্তীর্ণতাও পরিচালনা করতে হবে। রিফ্রেশ টোকেনগুলি বিভিন্ন কারণে অবৈধ করা যেতে পারে এবং আপনার অ্যাপ্লিকেশনটি পরবর্তী লগইন সেশনের সময় ব্যবহারকারীকে পুনরায় অনুমোদন করে অথবা যথাযথভাবে তাদের ডেটা পরিষ্কার করে সুন্দরভাবে প্রতিক্রিয়া জানাতে হবে। অফলাইন কাজ, যেমন ক্রোন জব, ব্যর্থ অনুরোধগুলি চালিয়ে যাওয়ার পরিবর্তে, যেসব অ্যাকাউন্টের রিফ্রেশ টোকেনের মেয়াদ শেষ হয়ে গেছে তা সনাক্ত করে রেকর্ড করে। API সার্ভারের স্থিতিশীলতা বজায় রাখার জন্য Google দীর্ঘ সময় ধরে উচ্চ স্তরের ত্রুটি তৈরি করে এমন অ্যাপ্লিকেশনগুলিকে থ্রোটল করতে পারে।
একাধিক স্কোপের জন্য সম্মতি পরিচালনা করুন
যদি আপনার অ্যাপ একাধিক OAuth 2.0 স্কোপের জন্য অনুমোদনের অনুরোধ করে, তাহলে ব্যবহারকারী আপনার অনুরোধ করা সমস্ত OAuth স্কোপ মঞ্জুর নাও করতে পারে। আপনার অ্যাপের উচিত প্রাসঙ্গিক বৈশিষ্ট্যগুলি অক্ষম করে স্কোপের অস্বীকৃতি পরিচালনা করা। ব্যবহারকারী যখন স্পষ্টভাবে নির্দিষ্ট বৈশিষ্ট্যটি ব্যবহার করার ইচ্ছা প্রকাশ করে যার জন্য স্কোপের প্রয়োজন হয় তখনই আপনি তাকে আবার অনুরোধ করতে পারেন। এই ধরনের ক্ষেত্রে উপযুক্ত OAuth স্কোপ অনুরোধ করতে ক্রমবর্ধমান অনুমোদন ব্যবহার করুন।
যদি আপনার অ্যাপের মৌলিক বৈশিষ্ট্যগুলির জন্য একাধিক স্কোপের প্রয়োজন হয়, তাহলে সম্মতি চাওয়ার আগে ব্যবহারকারীকে এই প্রয়োজনীয়তাটি ব্যাখ্যা করুন।