Google introduit une nouvelle exigence de sécurité pour les développeurs et les plateformes utilisant l'API Google Ads afin de générer des jetons d'actualisation OAuth 2.0. Dès début août, tout utilisateur créant de nouveaux jetons via l'API devra s'authentifier avec une clé d'accès lors du processus de génération. Cette mise à jour de l'écosystème de développement Google Ads représente l'une des modifications les plus importantes apportées à l'API ces derniers temps.
Cette mise à jour s'inscrit dans le cadre de l'initiative de sécurité de Google visant à renforcer la protection des comptes. Bien qu'elle n'ait probablement pas d'impact sur les annonceurs au quotidien, elle peut affecter significativement les développeurs, les agences et les fournisseurs SaaS. Toute entité interagissant avec l'API Google Ads sur le plan technique doit se préparer à cette évolution.
Quand le déploiement commencera
L'utilisation d'une clé d'accès deviendra obligatoire à compter du 5 août. Cette date marque le début d'un déploiement progressif auprès de tous les utilisateurs. Les développeurs et les entreprises utilisant l'API Google Ads doivent se préparer à recevoir cette mise à jour sur leurs comptes dans les semaines suivant le 5 août. Tout utilisateur suivant le processus d'authentification OAuth 2.0 standard pour l'API Google Ads sera concerné ultérieurement.
À compter de la date indiquée, la création de nouveaux jetons d'actualisation OAuth via l'API Google Ads nécessitera une clé d'accès pour garantir l'autorisation. En d'autres termes, toute personne ou organisation utilisant régulièrement l'interface de programmation (API) de Google Ads sera concernée par ces modifications.
Ce que cela signifie pour les développeurs
Dans le cadre de cette mise à jour, les mots de passe et les codes de vérification en deux étapes sont remplacés par des clés d'accès. L'utilisateur n'ayant pas configuré de clé d'accès devra en créer une lors de l'authentification.
Il va de soi que la mise à jour décrite ci-dessus est majeure. En clair, Google abandonne les méthodes d'authentification non sécurisées au profit d'une alternative éprouvée et sécurisée. Comme indiqué précédemment, les clés d'accès utilisent des clés cryptographiques pour la sécurité. Elles permettent d'accroître le niveau de sécurité, car la clé privée de l'utilisateur est générée et stockée uniquement sur son appareil. Ainsi, l'utilisateur n'a pas besoin de saisir ni de vérifier de code, celui-ci étant déjà présent sur son appareil. Pour les plateformes fournissant des services d'authentification à leurs clients, cela implique une modification du processus d'inscription afin d'intégrer cette étape supplémentaire.
Jetons d'actualisation OAuth existants vs. nouveaux
Il est important de noter que cette modification concerne uniquement les nouveaux jetons d'actualisation OAuth. Vos jetons d'actualisation OAuth existants, créés avant cette date, continueront de fonctionner. Cette modification ne devrait pas affecter vos processus existants utilisant l'API Google Ads. Elle concerne principalement les procédures d'authentification mises en place à compter de la date de déploiement mentionnée ci-dessus. Concrètement, cette mise à jour devient pertinente lorsqu'une entité configure une nouvelle intégration, notamment lors de l'ajout d'un nouvel annonceur.
Lors de la création d'une nouvelle session d'authentification, les utilisateurs devront définir ou fournir une clé d'accès pour se connecter à leur compte. Pour la plupart des utilisateurs, il s'agit simplement d'une étape supplémentaire rapide. Pour les développeurs et les plateformes qui configurent des comptes clients, cela implique une adaptation du processus d'intégration.
La période de confiance de sept jours
Il est important de noter qu'une clé d'accès nouvellement créée peut mettre jusqu'à une semaine pour être pleinement approuvée par Google. Cela signifie que la clé sera fonctionnelle, mais que Google la considérera comme non fiable pendant la première semaine suivant sa création. Google recommande aux entités qui créent une clé d'accès à l'avance de tirer parti de ce délai.
Cette note s'adresse principalement aux développeurs et aux plateformes, car les utilisateurs individuels disposent rarement de processus automatisés pour l'intégration de nouveaux annonceurs. Si une entreprise utilise des outils d'automatisation existants pour intégrer rapidement un nouvel annonceur, elle doit tenir compte de ce délai potentiel lors de la mise en place de l'intégration. Les agences qui intègrent des annonceurs dans des délais très courts doivent considérer cette mise à jour comme un impératif de planification, et non comme un simple problème technique. Les agences qui intègrent un nouvel annonceur avec moins d'une semaine de préavis avant le début d'un autre processus nécessitant une clé d'accès doivent intégrer ce délai dans leur planification.
Qui a réellement besoin de se préparer
Comme indiqué précédemment, la grande majorité des utilisateurs de Google Ads via l'interface standard ne seront pas directement concernés par cette mise à jour. Les modifications portent principalement sur l'utilisation de l'API Google Ads ; par conséquent, cette mise à jour affectera surtout les développeurs, les agences et les plateformes SaaS qui utilisent régulièrement l'API Google Ads dans le cadre de leur activité.
L'impact principal concerne les développeurs et les plateformes générant des jetons d'actualisation OAuth pour les comptes Google Ads. Si une entreprise utilise l'API Google Ads pour accéder à des données, les modifier ou les analyser, cette mise à jour affectera son processus d'intégration. Cela concerne notamment les développeurs, les agences et les plateformes proposant des logiciels tiers permettant d'analyser les données Google Ads et d'interagir avec elles. Toute intégration impliquant la connexion d'un compte Google Ads à une autre application nécessitera la configuration d'une clé d'accès, sauf indication contraire ci-dessous.
Il existe une exception à cette règle, concernant les organisations utilisant des comptes de service pour leurs opérations. Ces entités n'utilisant pas le processus d'authentification utilisateur standard, cette mise à jour ne les concerne pas. Pour la plupart des autres entités, en revanche, cette mise à jour nécessitera une légère modification du processus d'intégration.
D'autres produits Google Ads sont également concernés.
La modification de la procédure d'authentification affecte également plusieurs produits Google Ads utilisant l'API Google Ads. Google Ads Editor, Google Ads Scripts, BigQuery Data Transfer Service et Looker Studio font partie des produits concernés par cette mise à jour. Tout utilisateur de ces produits n'ayant pas configuré de clé d'accès devra en créer une, comme pour l'API Google Ads.
Par conséquent, l'impact de cette mise à jour ne se limite pas aux développeurs et aux agences, mais concerne également tout utilisateur qui utilise ces produits pour accéder à ses données Google Ads et interagir avec elles. Cela inclut les utilisateurs qui utilisent Google Ads Script ou Looker Studio pour modifier ou analyser leurs données Google Ads.
Pour la plupart des utilisateurs, cela affecte principalement leur capacité à utiliser ces outils à l'avenir. Pour les entreprises qui utilisent ces outils, cette mise à jour nécessite un ajustement mineur du processus d'intégration pour tout nouvel utilisateur. Il en va de même pour les plateformes tierces interagissant avec l'API Google Ads via ces outils.
Pourquoi cela est important pour les agences et autres entités
Les changements décrits dans cet article de blog auront un impact important sur de nombreux spécialistes du marketing. Par conséquent, les agences gérant plusieurs clients, les entreprises SaaS utilisant l'API Google Ads et les clients du service de transfert de données BigQuery et/ou de Looker Studio doivent prendre connaissance des modifications à venir concernant leur processus d'intégration.
Cette mise à jour concerne plus particulièrement les entités qui utilisent un intermédiaire pour accéder aux données Google Ads. De nombreuses entreprises utilisant l'API Google Ads, notamment les plateformes SaaS proposant des services de gestion Google Ads, offrent leurs services à plusieurs clients. Cette mise à jour concerne donc toute organisation qui utilise l'automatisation pour accéder aux données Google Ads via l'API Google Ads. Pour ces organisations, les modifications détaillées dans cette mise à jour représentent une mise à jour mineure des procédures d'intégration des nouveaux clients ou utilisateurs.
La principale préoccupation des entités concernées est liée au calendrier. La mise à jour en elle-même ne devrait pas poser de problèmes majeurs, car la création d'une clé d'accès est rapide. En revanche, pour les agences et autres entités, l'utilisation du délai de confiance de sept jours mentionné précédemment représente un enjeu plus important. Une entité qui crée un nouveau compte utilisateur et qui dispose de peu de temps pour autoriser une nouvelle clé d'accès avant le lancement d'une autre procédure nécessitant une autorisation Google Ads risque de rencontrer des difficultés importantes. Pour les agences facturant des honoraires à leurs clients dont les processus d'intégration sont ralentis de manière inattendue par cette mise à jour, cela peut s'avérer particulièrement problématique.
Ces entités doivent donc se préparer à l'avance afin de s'assurer que leurs systèmes d'automatisation existants sont configurés pour prendre en charge cette mise à jour. Cette mise à jour peut être largement ignorée pour les processus existants, car elle ne concerne que ceux impliquant la génération d'un nouveau jeton d'actualisation OAuth. Toutefois, toute entité générant fréquemment de tels jetons devrait envisager d'intégrer à son processus d'accueil une étape permettant de créer ou de demander une clé d'accès avant la date indiquée dans ce rapport.
Conclusion
À compter du 5 août, l'utilisation d'une clé d'accès deviendra la méthode d'authentification standard pour toute personne interagissant avec l'API Google Ads afin de générer de nouveaux jetons d'actualisation OAuth 2.0. Cette exigence sera déployée progressivement auprès de tous les utilisateurs dans les mois suivant cette date. Les développeurs, agences et autres entités utilisant l'API Google Ads sont invités à préparer leurs nouveaux utilisateurs à la nouvelle procédure de connexion, notamment en tenant compte du délai de confiance de sept jours s'ils créent un nouveau compte ou mettent en place une procédure d'autorisation peu avant le 5 août.
FAQ
Q1 : Quand l’exigence d’une clé d’accès pour l’API Google Ads entrera-t-elle en vigueur ?
Cela débutera le 5 août et Google appliquera progressivement cette exigence à tous les utilisateurs au cours des semaines suivantes.
Q2 : Cela s’appliquera-t-il aux annonceurs qui se connectent régulièrement à Google Ads ?
Non. Les annonceurs qui n'utilisent pas l'API Google Ads ne constateront aucun changement, car l'exigence de clé d'accès est directement liée au processus d'authentification des développeurs d'API.
Q3 : Les jetons d’actualisation OAuth existants nécessitent-ils une réautorisation ?
Non. Les jetons d'actualisation OAuth existants continueront de fonctionner comme avant et ne nécessiteront pas de réautorisation. L'obligation de générer une clé d'accès s'applique uniquement à la génération de nouveaux jetons d'actualisation.
Q4 : Quel type d’identifiants de connexion le mot de passe remplace-t-il ?
Les clés d'accès remplaceront l'authentification à un facteur par mot de passe et l'authentification à deux facteurs (codes SMS, mot de passe à usage unique). Une clé d'accès sera générée si l'utilisateur n'en possède pas.
Q5 : Un message s’affiche-t-il si un utilisateur ne possède pas de clé d’accès ?
Oui, des messages s'afficheront si l'utilisateur ne possède pas de clé d'accès. Il sera alors invité à en créer une lors de la génération d'un jeton d'actualisation.
Q6 : Quelle est la durée du délai de sécurité de sept jours pour les clés d'accès ?
Si une clé d'accès a été générée récemment, elle peut être soumise à un délai de sécurité de sept jours, ce qui signifie que le système ne lui fera pas confiance pendant cette période. Les équipes qui préparent les clés d'accès à l'avance ne rencontreront pas ce problème lors de l'intégration de leurs utilisateurs.
Q7 : Cela affecte-t-il d’autres outils Google Ads ?
Oui. Google Ads Editor, Google Ads Scripts, BigQuery Data Transfer Service et Looker Studio nécessitent tous une authentification auprès de l'API Google Ads ; leur accès requiert donc la génération de clés d'accès par les utilisateurs.
Q8 : Les applications avec comptes de service nécessitent-elles des clés d'accès ?
Non. Les comptes de service ne sont pas concernés par l'exigence de clé d'accès, car ils ne font pas l'objet d'une authentification utilisateur.
Q9 : Qui doit se préparer à ce changement ?
Les développeurs, agences et plateformes SaaS qui génèrent des jetons d'actualisation OAuth pour leurs utilisateurs doivent adapter leur processus d'intégration. Toute équipe gérant des comptes clients via l'API Google Ads (intégrations et/ou automatisation) doit également se préparer.
Q10 : Que peuvent faire les équipes pour éviter les retards causés par cette nouvelle exigence ?
Google recommande de créer une clé d'accès à l'avance afin d'éviter le délai de confiance de sept jours. Ainsi, ce délai n'interviendra pas à un moment inopportun, par exemple lors de la création d'un nouveau compte client.
