Hecho para que un agente pueda mirar, no tocar.

Tú controlas el acceso de escritura

El inicio de sesión con Google pide acceso a Search Console y acceso de solo lectura a GA4 en un único consentimiento. Las herramientas de escritura solo existen en Pro y Agency: el modo de escritura se activa en cuanto Google concede el acceso completo a Search Console, y el propietario del espacio de trabajo puede desactivarlo en «Settings» en cualquier momento. Las cuentas de miembro son siempre de solo lectura, los lectores no tienen ninguna herramienta y los tokens de acceso pueden emitirse de solo lectura y con caducidad. El servidor comprueba el modo en cada solicitud; un cliente no puede convencerlo de saltárselo.

OAuth, sin secretos que se puedan filtrar

Nunca creas un proyecto de Google Cloud, ni descargas una clave JSON, ni pegas un secreto de cliente. Claude, ChatGPT, Claude Code y Cursor se conectan mediante OAuth 2.1 con registro dinámico de clientes y PKCE; la página de consentimiento es nuestra y muestra exactamente qué cliente lo solicita y adónde volverá. Los refresh tokens rotan con una breve ventana de reutilización, de modo que una respuesta perdida no cierra la sesión a nadie.

Permisos calculados en cada solicitud

Cada llamada a una herramienta se comprueba con tu plan, los permisos de Google que realmente concediste, las claves que añadiste y, en Agency, el grupo de clientes de la persona o del token que hace la llamada. Un miembro asignado a un cliente no puede consultar la propiedad de otro, ni siquiera de forma indirecta: cada argumento que selecciona un sitio se valida contra el permiso concedido, con coincidencia exacta de host, de modo que un permiso para www.acme.com no abre sc-domain:acme.com.

Tratamiento de los datos

• Los tokens y las claves de cliente se cifran en reposo con AES-256-GCM, con un conjunto de claves que admite rotación.
• Las estadísticas almacenadas de Search Console, Bing y GA4 están vinculadas a tu espacio de trabajo y se eliminan con él. Exporta todo en JSON y CSV desde «Settings» cuando quieras.
• Los registros de llamadas a herramientas conservan 30 días de metadatos (nombre de la herramienta, cliente, resultado) y ningún resultado de consultas.
• El modo alojado nunca escribe exportaciones en el disco del servidor.
• La descarga de tu robots.txt y de tus sitemaps para la auditoría del sitio está protegida contra redes privadas y trucos de redirección.

Operaciones

• HTTPS en todas partes con HSTS; cabeceras de seguridad estrictas en el panel y en la API; sin cookies en el endpoint MCP.
• Límites de frecuencia antes de la autenticación en el endpoint MCP y en los webhooks, límites en las rutas sensibles de la API y bloqueos tras intentos de inicio de sesión fallidos.
• Autenticación en dos pasos opcional (aplicación de autenticación TOTP, con códigos de recuperación de un solo uso) para el inicio de sesión con correo electrónico y contraseña. El inicio de sesión con Google usa el segundo factor de tu propia cuenta de Google.
• Los eventos de seguridad (inicios de sesión denegados, intentos bloqueados entre cuentas, activaciones de límites, firmas de webhook incorrectas) se registran en un único flujo de eventos estructurados.
• Copias de seguridad de la base de datos cifradas y verificadas, con copias externas; un manual escrito de respuesta a incidentes con un objetivo de notificación de 72 horas.
• Auditorías de dependencias, análisis de secretos y un SBOM en cada cambio.

Política de API de Google

El uso que hace GSC Magic de los datos de usuario de Google cumple la Google API Services User Data Policy, incluidos los requisitos de uso limitado. Usamos los datos solo para ofrecer las funciones que ves, no los vendemos y no los usamos para entrenar modelos. Más detalles en la política de privacidad.

Informar de una vulnerabilidad

Escribe a security@gscmagic.com. Acusamos recibo en 2 días hábiles y compartimos una evaluación en 5. Los detalles legibles por máquina están en /.well-known/security.txt.

Preguntas