Sikkerhed

Bygget, så en agent kan se, men ikke røre.

At give en AI-agent dine Search Console-data bør ikke betyde, at du giver den nøglerne til dit websted. Sådan er GSC Magic bygget.

Senest opdateret: 2026-10-30

I korte træk

GSC Magic holder Free-planen skrivebeskyttet og lader ejere på betalte planer slå skrivetilstand fra, bruger Google OAuth i stedet for API-nøgler eller servicekontofiler, krypterer tokens i hvile med AES-256-GCM, kontrollerer plan, Google-scopes og kundegruppe ved hvert værktøjskald og lader dig eksportere eller slette alt selv. Sikkerhedsrapporter sendes til security@gscmagic.com.

Du styrer skriveadgangen

Google-login beder i ét samtykke om adgang til Search Console og skrivebeskyttet adgang til GA4. Skriveværktøjer findes kun på Pro og Agency: skrivetilstand slås til, så snart Google giver fuld adgang til Search Console, og workspace-ejeren kan til enhver tid slå den fra i Settings. Medlemskonti er altid skrivebeskyttede, seere får slet ingen værktøjer, og adgangstokens kan oprettes som skrivebeskyttede med en udløbsdato. Serveren kontrollerer tilstanden ved hver forespørgsel; en klient kan ikke snakke sig uden om den.

OAuth, ingen hemmeligheder at lække

Du opretter aldrig et Google Cloud-projekt, downloader en JSON-nøgle eller indsætter en klienthemmelighed. Claude, ChatGPT, Claude Code og Cursor forbinder via OAuth 2.1 med dynamisk klientregistrering og PKCE; samtykkesiden er vores egen og viser præcis, hvilken klient der spørger, og hvor den vender tilbage til. Refresh tokens roterer med et kort genbrugsvindue, så et tabt svar ikke logger nogen ud.

Tilladelser beregnet pr. forespørgsel

Hvert værktøjskald kontrolleres mod din plan, de Google-scopes, du faktisk har givet, de nøgler, du har tilføjet, og på Agency kundegruppen for den person eller det token, der foretager kaldet. Et medlem, der er tildelt én kunde, kan ikke forespørge en anden kundes ejendom, heller ikke indirekte: hvert argument, der vælger et websted, valideres mod tilladelsen med præcis host-matchning, så en tilladelse til www.acme.com ikke åbner sc-domain:acme.com.

Datahåndtering

  • Tokens og klientnøgler krypteres i hvile med AES-256-GCM under et nøglering, der understøtter rotation.
  • Gemte statistikker fra Search Console, Bing og GA4 er knyttet til dit workspace og slettes sammen med det. Eksportér alt som JSON og CSV fra “Settings” når som helst.
  • Logfiler over værktøjskald gemmer 30 dages metadata (værktøjsnavn, klient, udfald) og ingen forespørgselsresultater.
  • Hostet tilstand skriver aldrig eksporter til serverens disk.
  • Hentning af din robots.txt og dine sitemaps til webstedsauditten er beskyttet mod private netværk og omdirigeringstricks.

Drift

  • HTTPS overalt med HSTS; strenge sikkerhedsheadere på dashboardet og API’et; ingen cookies på MCP-endpointet.
  • Rate limits før autentificering på MCP-endpointet og webhooks, grænser på følsomme API-ruter og midlertidig låsning af login.
  • Valgfri tofaktorgodkendelse (TOTP-autentificeringsapp med engangsgendannelseskoder) til login med e-mail og adgangskode. Google-login bruger din Google-kontos egen anden faktor.
  • Sikkerhedshændelser (afviste login, blokerede forsøg på tværs af tenants, udløste rate limits, ugyldige webhook-signaturer) logges som én struktureret hændelsesstrøm.
  • Krypterede, verificerede databasebackups med kopier uden for stedet; en skriftlig beredskabsplan for hændelser med et mål om underretning inden for 72 timer.
  • Revision af afhængigheder, scanning efter hemmeligheder og en SBOM køres ved hver ændring.

Googles API-politik

GSC Magics brug af Googles brugerdata følger Google API Services User Data Policy, herunder kravene om begrænset brug (Limited Use). Vi bruger kun data til at levere de funktioner, du ser, vi sælger dem ikke, og vi bruger dem ikke til at træne modeller. Detaljer findes i privatlivspolitikken.

Meld en sårbarhed

Skriv til security@gscmagic.com. Vi bekræfter modtagelsen inden for 2 hverdage og deler en vurdering inden for 5. Maskinlæsbare oplysninger findes i /.well-known/security.txt.

Spørgsmål

Kan AI-agenten ændre mit websted?

Kun på Pro og Agency og kun, mens skrivetilstand er slået til. Login beder Google om adgang til Search Console og skrivebeskyttet adgang til GA4 i ét samtykke; på en betalt plan slås skrivetilstand til, så snart Google giver fuld adgang til Search Console, og workspace-ejeren kan til enhver tid slå den fra i Settings. På Free-planen er alle værktøjer, der skriver (sitemaps, IndexNow, indsendelse af URL’er til Bing, Indexing API), utilgængelige. Serveren håndhæver dette, uanset hvad klienten beder om.

Gemmer I min Google-adgangskode?

Nej. Login sker på Googles side. Vi gemmer OAuth-tokens, krypteret med AES-256-GCM under en roterende nøgle, og du kan til enhver tid tilbagekalde dem fra din Google-konto.

Bruges mine data til at træne modeller?

Nej. Vi træner ikke modeller, og vi deler ikke dine data med AI-udbyderen ud over resultaterne af de konkrete forespørgsler, din agent kører. Disse resultater er underlagt udbyderens vilkår.

Hvor hostes data?

I Den Europæiske Union. Vores databehandlere er opført i privatlivspolitikken.

Hvordan melder jeg en sårbarhed?

Send en e-mail til security@gscmagic.com. Vi bekræfter modtagelsen inden for 2 hverdage og deler en vurdering inden for 5. Sikkerhedsforskning i god tro er velkommen; den fulde politik og afgrænsningen findes i /.well-known/security.txt.