Google está implementando un nuevo requisito de seguridad para desarrolladores y plataformas que utilizan la API de Google Ads para generar tokens de actualización de OAuth 2.0. A partir de principios de agosto, cualquier usuario que genere nuevos tokens a través de la API deberá autenticarse con una clave de acceso durante el proceso de generación del token de actualización de OAuth 2.0. Esta actualización del ecosistema de desarrolladores de Google Ads representa uno de los cambios más significativos en la API en los últimos tiempos.
Esta actualización forma parte de la iniciativa de seguridad de Google para proteger mejor las cuentas. Si bien es poco probable que afecte a los anunciantes habituales, puede tener un impacto significativo en desarrolladores, agencias y proveedores de SaaS. Cualquier entidad que interactúe con la API de Google Ads a nivel técnico debe prepararse para este cambio en el futuro.
Cuando comience el despliegue
El uso de una clave de acceso será obligatorio a partir del 5 de agosto. Esta fecha marca el inicio de una implementación gradual para todos los usuarios. Los desarrolladores y las empresas que utilizan la API de Google Ads deben prepararse para recibir esta actualización en sus cuentas en las semanas posteriores al 5 de agosto. Cualquier usuario que siga el flujo de autenticación estándar OAuth 2.0 para la API de Google Ads se verá afectado en algún momento después de esta fecha.
A partir de la fecha especificada, al crear nuevos tokens de actualización de OAuth mediante la API de Google Ads, será necesaria una clave de acceso para garantizar el proceso de autorización. En otras palabras, toda persona u organización que utilice de forma habitual la interfaz de programación de aplicaciones (API) de Google Ads se verá afectada por los cambios descritos anteriormente.
Qué significa esto para los desarrolladores
Para los fines de esta actualización, las claves de acceso reemplazan a las contraseñas y los códigos de verificación en dos pasos. El usuario que no tenga una clave de acceso configurada deberá hacerlo al autenticarse.
Es evidente que la actualización descrita anteriormente es de gran importancia. En pocas palabras, Google está eliminando los métodos de autenticación inseguros y sustituyéndolos por una alternativa segura y de eficacia comprobada. Como se mencionó anteriormente, las claves de acceso utilizan claves criptográficas para garantizar la seguridad. Estas claves aumentan el nivel de seguridad, ya que la clave privada del usuario se genera y almacena únicamente en su dispositivo, lo que significa que la persona no necesita escribir ni verificar ningún código, puesto que este ya se encuentra en su dispositivo. Para las plataformas que ofrecen servicios de autenticación a sus clientes, esto requiere un cambio en el proceso de incorporación para incorporar este paso adicional.
Tokens de actualización de OAuth existentes frente a nuevos
Es importante tener en cuenta que este cambio afecta únicamente a los nuevos tokens de actualización de OAuth. Los tokens de actualización de OAuth existentes, creados antes de esta fecha, seguirán funcionando. Este cambio no debería afectar a los procesos actuales que utilizan la API de Google Ads. Se refiere principalmente a los procedimientos de autenticación que comiencen en la fecha de lanzamiento mencionada anteriormente o después. Básicamente, esta actualización cobra relevancia cuando una entidad configura una nueva integración, incluyendo la incorporación de un nuevo anunciante.
Al crear una nueva sesión de autenticación, los usuarios deberán configurar o proporcionar una clave de acceso para conceder acceso a su cuenta. Para la mayoría de los usuarios, esto solo implica un breve paso adicional. Para los desarrolladores y las plataformas que configuran cuentas de cliente, esto implica un ajuste en el proceso de incorporación.
El período de confianza de siete días
Un aspecto que los usuarios deben tener en cuenta es que una clave de acceso recién creada puede tardar hasta una semana en obtener plena confianza. Esto significa que la clave será funcional, pero Google la considerará no confiable durante la primera semana posterior a su creación. Google recomienda que las entidades que creen una clave de acceso con anticipación aprovechen este período de gracia.
Esta nota se aplica principalmente a desarrolladores y plataformas, ya que es improbable que los usuarios individuales cuenten con procesos automatizados para incorporar nuevos anunciantes. Si una empresa utiliza herramientas de automatización existentes para configurar un nuevo anunciante con poca antelación, debe tener en cuenta este posible retraso al intentar establecer la integración. Las agencias que configuran anunciantes con poca antelación deben considerar esta actualización como un problema de planificación, no solo técnico. Las agencias que configuran un nuevo anunciante con menos de una semana de antelación antes de que comience otro proceso que requiere clave de acceso deben considerar este retraso en su planificación.
¿Quién necesita prepararse realmente?
Como se mencionó anteriormente, la gran mayoría de los usuarios de Google Ads a través de la interfaz estándar no se verán directamente afectados por esta actualización. Los cambios se refieren principalmente al uso de la API de Google Ads, lo que significa que esta actualización afectará principalmente a desarrolladores, agencias y plataformas SaaS que utilizan habitualmente la API de Google Ads en su trabajo.
La mayor parte del impacto recae sobre los desarrolladores y las plataformas que generan tokens de actualización OAuth para las cuentas de Google Ads. Si una empresa utiliza la API de Google Ads para acceder, modificar o analizar datos, esta actualización afectará su proceso de incorporación. Esto incluye a desarrolladores, agencias y plataformas que ofrecen software de terceros para analizar e interactuar con los datos de Google Ads. Cualquier integración que implique conectar una cuenta de Google Ads con otra aplicación requerirá la configuración de una clave de acceso en algún momento, a menos que se indique lo contrario a continuación.
Existe una excepción a esta regla, que afecta a las organizaciones que utilizan cuentas de servicio para sus operaciones. Dado que estas entidades no utilizan el proceso de autenticación de usuario estándar, esta actualización no les afecta. Sin embargo, para la mayoría de las demás entidades, esta actualización requerirá una ligera modificación en el proceso de incorporación.
Otros productos de Google Ads también se ven afectados.
El cambio en el procedimiento de autenticación también afecta a varios productos de Google Ads que utilizan la API de Google Ads. Google Ads Editor, Google Ads Scripts, BigQuery Data Transfer Service y Looker Studio son algunos de los productos que se verán afectados por esta actualización. Cualquier usuario que utilice estos productos y no tenga una clave de acceso configurada deberá configurarla, al igual que con la API de Google Ads.
Por lo tanto, el impacto de esta actualización se extiende más allá de los desarrolladores y las agencias, e incluye a cualquier usuario que utilice estos productos para acceder e interactuar con sus datos de Google Ads. Esto incluye a los usuarios habituales que utilizan Google Ads Scripts o Looker Studio para modificar o analizar sus datos de Google Ads.
Para la mayoría de los usuarios, esto afecta principalmente su capacidad para utilizar estas herramientas en el futuro. Para las empresas que utilizan estas herramientas, esta actualización requiere un pequeño ajuste en el proceso de incorporación de los nuevos usuarios. Lo mismo se aplica a las plataformas de terceros que interactúan con la API de Google Ads a través de estas herramientas.
Por qué esto es importante para las agencias y otras entidades
Los cambios descritos en esta publicación afectarán a un gran número de profesionales del marketing. Por lo tanto, las agencias con múltiples clientes, las empresas SaaS que utilizan la API de Google Ads y los clientes del servicio de transferencia de datos de BigQuery o Looker Studio deben estar al tanto de los próximos cambios en su proceso de incorporación.
Esta actualización, en particular, afecta a las entidades que utilizan un intermediario para acceder a los datos de Google Ads. Muchas empresas que utilizan la API de Google Ads, incluidas las plataformas SaaS que ofrecen servicios de gestión de Google Ads, prestan sus servicios a múltiples clientes. Por lo tanto, esta actualización afecta a cualquier organización que utilice la automatización para acceder a los datos de Google Ads a través de la API de Google Ads. Para dichas organizaciones, los cambios detallados en esta actualización representan una modificación menor en los procedimientos de incorporación de nuevos clientes o usuarios.
La principal preocupación para las entidades que se encuentran en esta categoría está relacionada con el tiempo. Es poco probable que la actualización en sí cause dificultades significativas, ya que configurar una clave de acceso solo lleva un breve período. Una preocupación mayor para las agencias y otras entidades radica en el uso del período de confianza de siete días mencionado anteriormente. Una entidad que configura un nuevo usuario y tiene poco tiempo para autorizar una nueva clave de acceso antes de que comience otro proceso que requiere la autorización de Google Ads corre el riesgo de encontrar dificultades importantes. Para las agencias que facturan una tarifa fija a clientes cuyos procesos de incorporación se ralentizan inesperadamente debido a esta actualización, esto puede ser una preocupación particularmente problemática.
Por lo tanto, dichas entidades deben prepararse con anticipación para garantizar que la automatización existente esté configurada para adaptarse a esta actualización. Esta actualización puede ignorarse en gran medida para los procesos existentes, ya que solo afecta a aquellos que implican la generación de un nuevo token de actualización de OAuth. Sin embargo, cualquier entidad que genere frecuentemente dichos tokens debería considerar la posibilidad de incluir un paso en su proceso de incorporación para crear o solicitar una clave de acceso con anticipación, antes de la fecha indicada en este informe.
Resumen Final
A partir del 5 de agosto, las claves de acceso se convertirán en el método de autenticación estándar para quienes interactúen con la API de Google Ads para generar nuevos tokens de actualización de OAuth 2.0. Este requisito se implementará para todos los usuarios en los meses posteriores a la fecha de inicio. Los desarrolladores, agencias y otras entidades que utilicen la API de Google Ads deben preparar a los nuevos usuarios para el procedimiento de inicio de sesión actualizado con antelación, teniendo en cuenta el período de confianza de siete días en caso de que configuren una nueva cuenta o procedimiento de autorización poco antes de la fecha mencionada.
Preguntas Frecuentes
P1: ¿Cuándo entrará en vigor el requisito de clave de acceso para la API de Google Ads?
Comenzará el 5 de agosto, y Google aplicará gradualmente este requisito a todos los usuarios durante las semanas siguientes.
P2: ¿Esto se aplicará a los anunciantes que inician sesión en Google Ads con regularidad?
No. Los anunciantes habituales que no utilizan la API de Google Ads no verán ningún cambio, ya que el requisito de la clave de acceso está directamente vinculado al proceso de autenticación para los desarrolladores de la API.
P3: ¿Los tokens de actualización de OAuth existentes requieren una nueva autorización?
No. Los tokens de actualización de OAuth existentes seguirán funcionando como antes y no requerirán una nueva autorización. El requisito de generar una clave de acceso se aplica únicamente a la generación de nuevos tokens de actualización.
P4: ¿Qué tipo de inicios de sesión reemplaza la clave de acceso?
Las claves de acceso reemplazarán los inicios de sesión de un solo factor basados en contraseñas y las autenticaciones de dos factores (códigos SMS, contraseñas de un solo uso basadas en el tiempo). Se generará una clave de acceso si el usuario no posee una.
P5: ¿Aparece algún mensaje si un usuario no tiene una clave de acceso?
Sí, aparecerán avisos en caso de que un usuario no tenga una clave de acceso. Se le indicará al usuario que cree una clave de acceso al generar un token de actualización.
P6: ¿Cuánto dura el período de seguridad de siete días para las claves de acceso?
Si una clave de acceso se generó recientemente, puede estar sujeta a un período de espera de seguridad de siete días, lo que significa que el sistema no la reconocerá como válida durante ese tiempo. Los equipos que preparen las claves de acceso con antelación no tendrán este problema durante la incorporación de sus usuarios.
P7: ¿Esto afecta a otras herramientas de Google Ads?
Sí. Google Ads Editor, Google Ads Scripts, BigQuery Data Transfer Service y Looker Studio requieren autenticación con la API de Google Ads, por lo que su acceso exige que los usuarios generen claves de acceso.
P8: ¿Las aplicaciones con cuentas de servicio requieren claves de acceso?
No. Las cuentas de servicio no se ven afectadas por el requisito de la clave de acceso, ya que no pasan por la autenticación de usuario.
P9: ¿Quiénes deben estar preparados para este cambio?
Los desarrolladores, agencias y plataformas SaaS que generan tokens de actualización OAuth para sus usuarios deben preparar su flujo de incorporación. Cualquier equipo que gestione cuentas de clientes mediante integraciones o automatización con la API de Google Ads debe estar preparado.
P10: ¿Qué pueden hacer los equipos para evitar retrasos causados por el nuevo requisito?
Google recomienda crear una clave de acceso con antelación para evitar el retraso de siete días en la verificación de la confianza. De esta forma, el retraso no se producirá en un mal momento, como durante la incorporación de una nueva cuenta de cliente.
