Conçu pour qu’un agent puisse regarder, pas toucher.

Vous contrôlez l’accès en écriture

La connexion Google demande, en un seul consentement, l’accès à Search Console et un accès en lecture seule à GA4. Les outils d’écriture n’existent que sur Pro et Agency : le mode écriture s’active dès que Google accorde l’accès complet à Search Console, et le propriétaire de l’espace de travail peut le désactiver à tout moment dans Settings. Les comptes membres sont toujours en lecture seule, les lecteurs n’ont aucun outil, et les jetons d’accès peuvent être émis en lecture seule, avec une date d’expiration. Le serveur vérifie le mode à chaque requête : aucun client ne peut le contourner, quoi qu’il demande.

OAuth, aucun secret à divulguer

Vous ne créez jamais de projet Google Cloud, ne téléchargez aucune clé JSON et ne collez aucun secret client. Claude, ChatGPT, Claude Code et Cursor se connectent via OAuth 2.1, avec enregistrement dynamique des clients et PKCE ; la page de consentement est la nôtre et indique précisément quel client fait la demande et où il revient ensuite. Les jetons d’actualisation sont renouvelés avec une courte fenêtre de réutilisation : une réponse perdue ne déconnecte personne.

Autorisations calculées à chaque requête

Chaque appel d’outil est vérifié par rapport à votre plan, aux scopes Google que vous avez réellement accordés, aux clés que vous avez ajoutées et, sur Agency, au groupe de clients de la personne ou du jeton qui fait l’appel. Un membre rattaché à un client ne peut pas interroger la propriété d’un autre client, même indirectement : chaque argument qui sélectionne un site est validé par rapport à l’autorisation accordée, avec une correspondance exacte de l’hôte. Une autorisation pour www.acme.com n’ouvre donc pas sc-domain:acme.com.

Traitement des données

• Les jetons et les clés des clients sont chiffrés au repos avec AES-256-GCM, au sein d’un trousseau de clés qui permet la rotation.
• Les statistiques Search Console, Bing et GA4 conservées sont rattachées à votre espace de travail et supprimées avec lui. Exportez tout en JSON et en CSV depuis Settings, à tout moment.
• Les journaux d’appels d’outils conservent 30 jours de métadonnées (nom de l’outil, client, résultat) et aucun résultat de requête.
• Le mode hébergé n’écrit jamais d’exports sur le disque du serveur.
• La récupération de votre robots.txt et de vos sitemaps pour l’audit de site est protégée contre l’accès aux réseaux privés et les redirections détournées.

Exploitation

• HTTPS partout avec HSTS ; en-têtes de sécurité stricts sur le tableau de bord et l’API ; aucun cookie sur l’endpoint MCP.
• Limites de débit avant authentification sur l’endpoint MCP et les webhooks, limites supplémentaires sur les routes sensibles de l’API, et verrouillage après échecs de connexion.
• Authentification à deux facteurs optionnelle (application d’authentification TOTP, avec codes de récupération à usage unique) pour la connexion par e-mail et mot de passe. La connexion Google s’appuie sur le second facteur de votre compte Google.
• Les événements de sécurité (connexions refusées, tentatives d’accès entre comptes bloquées, limites atteintes, signatures de webhook invalides) sont consignés dans un flux d’événements structuré unique.
• Sauvegardes de base de données chiffrées et vérifiées, avec copies hors site ; procédure écrite de réponse aux incidents, avec un objectif de notification sous 72 heures.
• Audits des dépendances, détection de secrets et SBOM à chaque modification.

Politique relative aux API Google

L’utilisation des données utilisateur Google par GSC Magic respecte la Google API Services User Data Policy, y compris les exigences d’utilisation limitée (Limited Use). Nous n’utilisons ces données que pour fournir les fonctionnalités que vous voyez, nous ne les vendons pas et nous ne les utilisons pas pour entraîner des modèles. Détails dans la politique de confidentialité.

Signaler une vulnérabilité

Écrivez à security@gscmagic.com. Nous accusons réception sous 2 jours ouvrés et partageons une évaluation sous 5 jours. Les détails lisibles par machine se trouvent dans /.well-known/security.txt.

Questions