Rakennettu niin, että agentti voi katsoa mutta ei koskea.

Sinä hallitset kirjoitusoikeutta

Google-kirjautuminen pyytää yhdellä suostumuksella oikeudet Search Consoleen ja vain luku -oikeudet GA4:ään. Kirjoitustyökalut ovat olemassa vain Pro- ja Agency-paketeissa: kirjoitustila kytkeytyy päälle, kun Google myöntää täyden pääsyn Search Consoleen, ja työtilan omistaja voi kytkeä sen pois kohdassa Settings milloin tahansa. Jäsentilit ovat aina vain luku -tilassa, katsojat eivät saa työkaluja lainkaan, ja käyttöoikeustunnukset voi luoda vain luku -tilaisina vanhenemisajalla. Palvelin tarkistaa tilan jokaisella pyynnöllä, eikä asiakasohjelma pääse sen ohi.

OAuth, ei vuotavia salaisuuksia

Et koskaan luo Google Cloud -projektia, lataa JSON-avainta tai liitä client secretiä. Claude, ChatGPT, Claude Code ja Cursor yhdistävät OAuth 2.1:llä, dynaamisella asiakasrekisteröinnillä ja PKCE:llä. Suostumussivu on meidän, ja se näyttää tarkasti, mikä asiakasohjelma pyytää pääsyä ja minne se palaa. Päivitystunnukset kiertävät lyhyellä uudelleenkäyttöikkunalla, joten kadonnut vastaus ei kirjaa ketään ulos.

Oikeudet lasketaan pyyntökohtaisesti

Jokainen työkalukutsu tarkistetaan pakettisi, todella myöntämiesi Google-oikeuksien, lisäämiesi avainten ja Agency-paketissa kutsun tekevän henkilön tai tunnuksen asiakasryhmän perusteella. Yhdelle asiakkaalle määrätty jäsen ei voi kysellä toisen asiakkaan resurssia, ei edes epäsuorasti: jokainen sivuston valitseva argumentti validoidaan myönnettyjä oikeuksia vasten täsmällisellä isäntänimen vertailulla, joten oikeus osoitteeseen www.acme.com ei avaa resurssia sc-domain:acme.com.

Datan käsittely

• Tunnukset ja asiakasavaimet salataan levossa AES-256-GCM:llä avainrenkaalla, joka tukee avainten kiertoa.
• Tallennetut Search Console-, Bing- ja GA4-tilastot on sidottu työtilaasi ja poistetaan sen mukana. Voit viedä kaiken JSON- ja CSV-muodossa Settings-sivulta milloin tahansa.
• Työkalukutsulokeissa säilytetään 30 päivän metatiedot (työkalun nimi, asiakasohjelma, tulos), ei kyselytuloksia.
• Pilvessä toimiva palvelu ei koskaan kirjoita vientejä palvelimen levylle.
• Sivustotarkistusta varten haettavat robots.txt ja sivustokartat on suojattu yksityisverkkoja ja uudelleenohjaustemppuja vastaan.

Toiminta

• HTTPS kaikkialla ja HSTS; tiukat tietoturvaotsakkeet hallintapaneelissa ja API:ssa; ei evästeitä MCP-päätepisteessä.
• Nopeusrajoitukset ennen todennusta MCP-päätepisteessä ja webhookeissa, arkaluonteisten reittien rajoitukset API:ssa sekä kirjautumislukitukset.
• Valinnainen kaksivaiheinen todennus (TOTP-todennussovellus ja kertakäyttöiset palautuskoodit) sähköposti-salasana-kirjautumiselle. Google-kirjautuminen käyttää Google-tilisi omaa toista vaihetta.
• Tietoturvatapahtumat (evätyt kirjautumiset, estetyt asiakastilien väliset yritykset, rajoittimen osumat, virheelliset webhook-allekirjoitukset) kirjataan yhtenä jäsenneltynä tapahtumavirtana.
• Salatut ja varmennetut tietokantavarmuuskopiot toimipaikan ulkopuolisine kopioineen sekä kirjallinen poikkeamatoimintaohje, jonka ilmoitustavoite on 72 tuntia.
• Riippuvuusauditoinnit, salaisuuksien skannaus ja SBOM ajetaan jokaisen muutoksen yhteydessä.

Google API -käytäntö

GSC Magic -palvelun Googlen käyttäjädatan käyttö noudattaa Google API Services User Data Policy -käytäntöä, Limited Use -vaatimukset mukaan lukien. Dataa käytetään vain näkemiesi ominaisuuksien tarjoamiseen, sitä ei myydä, eikä sillä kouluteta malleja. Lisätiedot tietosuojaselosteessa.

Ilmoita haavoittuvuudesta

Kirjoita osoitteeseen security@gscmagic.com. Vahvistamme vastaanoton 2 arkipäivässä ja jaamme arvion 5 arkipäivässä. Koneluettavat tiedot ovat osoitteessa /.well-known/security.txt.

Kysymyksiä