Dein Agent darf nachsehen, aber nichts anfassen.

Du kontrollierst den Schreibzugriff

Die Google-Anmeldung fragt den Zugriff auf Search Console und den schreibgeschützten Zugriff auf GA4 in einer einzigen Zustimmung ab. Schreib-Tools gibt es nur in Pro und Agency: Der Schreibmodus ist automatisch eingeschaltet, sobald Google vollen Search-Console-Zugriff gewährt, und der Workspace-Owner kann ihn jederzeit in den Settings abschalten. Member-Konten sind immer schreibgeschützt, Viewer bekommen gar keine Tools, und Zugriffstoken lassen sich schreibgeschützt und mit Ablaufdatum erzeugen. Der Server prüft den Modus bei jeder Anfrage; ein Client kann ihn nicht austricksen.

OAuth ohne Secrets, die abfließen können

Du legst nie ein Google-Cloud-Projekt an, lädst keinen JSON-Schlüssel herunter und fügst kein Client-Secret ein. Claude, ChatGPT, Claude Code und Cursor verbinden sich über OAuth 2.1 mit Dynamic Client Registration und PKCE; die Zustimmungsseite gehört uns und zeigt genau, welcher Client anfragt und wohin er zurückkehrt. Refresh-Token rotieren mit einem kurzen Wiederverwendungsfenster, sodass eine verlorene Antwort niemanden abmeldet.

Berechtigungen, pro Anfrage berechnet

Jeder Tool-Aufruf wird gegen deinen Tarif, die tatsächlich erteilten Google-Scopes, die hinterlegten Keys und, in Agency, die Kundengruppe der Person oder des Tokens geprüft, die den Aufruf auslöst. Wer einem Kunden zugeordnet ist, kann auch indirekt nicht die Property eines anderen Kunden abfragen: Jedes Argument, das eine Website auswählt, wird mit exaktem Host-Abgleich gegen die Freigabe validiert, sodass eine Freigabe für www.acme.com nicht sc-domain:acme.com öffnet.

Umgang mit Daten

• Token und Client-Keys sind im Ruhezustand mit AES-256-GCM verschlüsselt, unter einem Schlüsselbund, der Rotation unterstützt.
• Gespeicherte Statistiken aus Search Console, Bing und GA4 gehören zu deinem Workspace und werden mit ihm gelöscht. Exportiere alles jederzeit als JSON und CSV in den Settings.
• Tool-Aufruf-Protokolle speichern 30 Tage Metadaten (Tool-Name, Client, Ergebnis) und keine Abfrageergebnisse.
• Im gehosteten Modus werden Exporte nie auf die Festplatte des Servers geschrieben.
• Das Abrufen deiner robots.txt und Sitemaps für das Website-Audit ist gegen private Netzwerke und Redirect-Tricks abgesichert.

Betrieb

• HTTPS überall mit HSTS; strikte Sicherheits-Header am Dashboard und an der API; keine Cookies am MCP-Endpunkt.
• Rate Limits vor der Authentifizierung am MCP-Endpunkt und an Webhooks, Limits für sensible Routen an der API und Sperren bei der Anmeldung.
• Optionale Zwei-Faktor-Authentifizierung (TOTP-Authenticator-App, mit einmaligen Wiederherstellungscodes) für die Anmeldung per E-Mail und Passwort. Die Google-Anmeldung nutzt den zweiten Faktor deines Google-Kontos.
• Sicherheitsereignisse (abgelehnte Anmeldungen, blockierte mandantenübergreifende Zugriffsversuche, Limiter-Treffer, ungültige Webhook-Signaturen) werden als ein strukturierter Ereignisstrom protokolliert.
• Verschlüsselte, verifizierte Datenbank-Backups mit Offsite-Kopien; ein schriftliches Runbook zur Reaktion auf Vorfälle mit einem Benachrichtigungsziel von 72 Stunden.
• Abhängigkeits-Audits, Secret Scanning und eine SBOM laufen bei jeder Änderung.

Google-API-Richtlinie

Die Nutzung von Google-Nutzerdaten durch GSC Magic folgt der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen. Wir verwenden die Daten nur, um die Funktionen bereitzustellen, die du siehst, verkaufen sie nicht und nutzen sie nicht zum Training von Modellen. Details in der Datenschutzerklärung.

Sicherheitslücke melden

Schreib an security@gscmagic.com. Wir bestätigen den Eingang innerhalb von 2 Werktagen und teilen innerhalb von 5 eine Einschätzung mit. Maschinenlesbare Details stehen in /.well-known/security.txt.

Fragen