Jak AdMate bezpečně a soukromě zachází s přihlašovacími údaji poskytovatelů

Panel pro monetizaci může mít přístup k citlivým obchodním datům. Jeho bezpečnostní model je stejně důležitý jako jeho grafy. AdMate je navržen tak, aby aplikace pro Apple dotazovala služby Google, RevenueCat a App Store Connect přímo. API AdMate se nesmí stát proxy ani dlouhodobým úložištěm příjmů uživatelů od poskytovatelů.

Tato architektura omezuje jeden typ centrálního ohrožení, ale uživatelé musí stále chránit přihlašovací údaje, zařízení a materiály pro podporu.

AdMate

Všechny vaše příjmy na jednom panelu

Sledujte AdMob, AdSense, RevenueCat a App Store Connect napříč více účty s filtry podle aplikace, platformy a země

Monitorujte příjmy, kliknutí, eCPM, předplatná, instalace a platby na iPhonu, iPadu, Macu a Apple Watch

Přímá připojení k poskytovatelům

Hlavní aplikace používá autorizaci účtu nebo přihlašovací údaje API nastavené pro každou službu. Účty Google používají příslušné postupy přihlášení; RevenueCat používá podporované režimy autorizace; App Store Connect používá identifikátory svého klíče API a soukromý klíč.

Oprávnění u poskytovatele určují, které účty, aplikace, projekty a přehledy jsou viditelné. AdMate nemůže udělit přístup, který poskytovatel neautorizoval.

Co dělá API AdMate

API podporuje metadata produktu a vybrané provozní procesy, například oznámení webhooků RevenueCat. Dočasný kontext zařízení RevenueCat může obsahovat projekt, aplikaci, jazyk a měnu, aby událost mohla vytvořit užitečné oznámení.

Tento kontext není určen k ukládání úplné historie příjmů uživatele ani jeho přístupového tokenu. Data panelu zůstávají přímou odpovědností mezi aplikací a poskytovatelem.

Přihlašovací údaje na platformách Apple

Aplikace a její rozšíření sdílejí kompatibilní stav přes App Group, aby mohly fungovat widgety a funkce pro Watch. Každé zařízení přihlášené k účtu považujte za zařízení s přístupem k citlivým obchodním souhrnům.

Používejte kódy zařízení, bezpečnostní aktualizace platformy a vhodné soukromí na zamčené obrazovce. Před předáním nebo vyřazením zařízení z něj odeberte účty poskytovatelů.

Pravidla pro jednotlivé přihlašovací údaje

Autorizace Google

Používejte oficiální postup přihlášení. Nikdy nesdělujte heslo ke Googlu aplikaci AdMate ani podpoře.

Tajný přístup k RevenueCat

Používejte režim autorizace, který vyžaduje aktuální nastavení, uplatňujte minimální oprávnění, pečlivě přiřazujte klíče k projektům a každý vyzrazený klíč rotujte.

Soukromý klíč App Store Connect

Chraňte soubor .p8, Key ID a Issuer ID jako jednu sadu přihlašovacích údajů. Soukromý klíč nikdy necommitujte ani nepřikládejte k požadavku na podporu.

Autorizace webhooků

Autorizaci endpointu uchovávejte v úložištích tajných údajů poskytovatele a serveru. Slouží k jinému účelu než přihlašovací údaje panelu.

Bezpečná diagnostika

Když žádáte o pomoc, uveďte:

verzi AdMate a platformu;
název služby;
necitlivý alias účtu;
časové období a metriku;
zamaskovaný kód nebo text chyby;
kroky, které problém reprodukují.

Odstraňte:

tokeny a soukromé klíče;
úplné identifikátory účtů, vydavatelů nebo zákazníků;
platební a bankovní údaje;
nezamaskované e-mailové adresy;
úplné odpovědi poskytovatelů.

Pokud jste tajný údaj omylem přiložili, zneplatněte ho nebo ho rotujte. Smazat zprávu nestačí, protože mohou zůstat kopie nebo logy.

Odebrání přístupu u více účtů

Když skončí spolupráce s členem týmu nebo klientem:

odeberte přístup u poskytovatele;
rotujte sdílené nebo vyzrazené přihlašovací údaje;
odeberte účet ze zařízení s AdMate;
smažte nepovolené kopie v poznámkách nebo souborech;
ověřte, že widgety a Watch už účet nezobrazují;
zdokumentujte nového vlastníka účtu.

Soukromí a účetní archivace

Obchodní záznamy může být nutné uchovávat, ale měly by být ve schválených účetních a dokumentových systémech organizace, ne ve veřejných repozitářích nebo náhodných snímcích obrazovky. AdMate je provozní panel a tuto zásadu archivace nenahrazuje.

Často kladené otázky

Nahrává AdMate všechny příjmy od poskytovatelů na svůj server?

Ne. Architektura produktu udržuje dotazy panelu přímo mezi aplikací a poskytovatelem. API obsluhuje omezené provozní procesy, například kontext oznámení webhooků.

Může podpora žádat můj soukromý klíč?

Řádná diagnostika by měla vycházet ze zamaskovaných chyb a kontextu. Neposílejte soukromé klíče ani tokeny poskytovatelů.

Co mám udělat po vyzrazení klíče?

Zneplatněte ho nebo ho rotujte u poskytovatele, aktualizujte autorizovaný účet v AdMate a odstraňte kompromitovanou hodnotu ze všech míst, kde byla uložena.

Jsou widgety ve výchozím stavu soukromé?

Řídí se nastavením viditelnosti platformy. Zvolte obsah zamčené obrazovky a hodinek vhodný pro kohokoli, kdo může zařízení vidět.