Google test een nieuwe beveiligingslaag voor de Google Ads API waarmee eigenaren van manager-accounts zelf bepalen welke applicaties gevoelige acties mogen uitvoeren. Deelnemers aan de pilot stellen een allowlist van goedgekeurde Google Cloud-projecten samen, waarna alle overige apps automatisch worden geblokkeerd voor risicovolle handelingen zoals accountbeheer, gebruikersbeheer en facturatie.
Waarom Google deze stap zet
Bureaus en grote adverteerders koppelen vaak tientallen externe tools aan één Google Ads manager-account. Elke extra koppeling vergroot het risico dat gestolen of gelekte API-inloggegevens worden misbruikt voor ongeautoriseerde wijzigingen.
Met de allowlist voegt Google een extra controlelaag toe die verder gaat dan alleen inloggegevens beveiligen. Zelfs met geldige credentials kan een applicatie die niet op de lijst staat geen gevoelige acties meer uitvoeren.
Zo werkt de pilot in de praktijk
Aanmelden gebeurt door het customer ID van het top-level manager-account bij Google in te dienen. Google analyseert vervolgens de API-activiteit binnen de volledige accounthiërarchie en brengt in kaart welke applicaties daadwerkelijk actief zijn.
Op basis daarvan stelt Google samen met de adverteerder een allowlist op. Belangrijke details van het proces:
- Alleen vooraf goedgekeurde Google Cloud-projecten mogen gevoelige API-methodes aanroepen
- Adverteerders kunnen later alsnog nieuwe applicaties laten goedkeuren
- Nieuw gekoppelde accounts erven automatisch de beveiliging van het beschermde manager-account
- Niet-goedgekeurde apps worden geblokkeerd zodra de bescherming actief is
Wat dit betekent voor bureaus en adverteerders
Voor accountbeheerders die met veel externe software werken, verkleint deze functie de kans dat een gecompromitteerde of vergeten integratie toegang krijgt tot gevoelige accountonderdelen. Dat is vooral relevant bij bureaus met een groot klantenbestand, waar overzicht over gekoppelde apps snel verloren gaat.
De pilot volgt op eerdere beveiligingsmaatregelen van Google, waaronder verplichte passkey-authenticatie voor gebruikers van de Ads API. Het patroon is duidelijk: naarmate advertentieplatformen sterker verweven raken met externe software, verscherpt Google de controle over wie welke acties mag uitvoeren.
Bron: Search Engine Land