Costruito perché un agente possa guardare, non toccare.

Controlli tu l’accesso in scrittura

L’accesso con Google chiede in un unico consenso i permessi per Search Console e l’accesso in sola lettura a GA4. I tool di scrittura esistono solo su Pro e Agency: la modalità scrittura si attiva non appena Google concede i permessi completi per Search Console e il proprietario del workspace può disattivarla in «Settings» in qualsiasi momento. Gli account dei membri sono sempre in sola lettura, i visualizzatori non hanno alcun tool e i token di accesso possono essere creati in sola lettura e con una scadenza. Il server verifica la modalità a ogni richiesta: un client non può aggirarla chiedendo il contrario.

OAuth, nessun segreto da perdere

Non crei mai un progetto Google Cloud, non scarichi una chiave JSON e non incolli un client secret. Claude, ChatGPT, Claude Code e Cursor si collegano tramite OAuth 2.1 con registrazione dinamica del client e PKCE; la pagina di consenso è nostra e mostra esattamente quale client sta chiedendo l’accesso e dove tornerà. I refresh token ruotano con una breve finestra di riutilizzo, così una risposta persa non disconnette nessuno.

Permessi calcolati a ogni richiesta

Ogni chiamata a un tool viene verificata rispetto al tuo piano, agli scope Google che hai effettivamente concesso, alle chiavi che hai aggiunto e, su Agency, al gruppo cliente della persona o del token che effettua la chiamata. Un membro assegnato a un cliente non può interrogare la proprietà di un altro cliente, nemmeno indirettamente: ogni argomento che seleziona un sito viene validato rispetto al permesso concesso, con corrispondenza esatta dell’host, quindi un permesso per www.acme.com non apre sc-domain:acme.com.

Gestione dei dati

• Token e chiavi dei client sono cifrati a riposo con AES-256-GCM, con un keyring che supporta la rotazione.
• Le statistiche conservate di Search Console, Bing e GA4 sono legate al tuo workspace e vengono eliminate con esso. Esporta tutto in JSON e CSV da «Settings» in qualsiasi momento.
• I log delle chiamate ai tool conservano 30 giorni di metadati (nome del tool, client, esito) e nessun risultato di query.
• Nella versione in cloud gli export non vengono mai scritti sul disco del server.
• Il recupero di robots.txt e sitemap per l’audit del sito è protetto contro le reti private e i trucchi di reindirizzamento.

Operatività

• HTTPS ovunque con HSTS; intestazioni di sicurezza rigorose su dashboard e API; nessun cookie sull’endpoint MCP.
• Limiti di frequenza prima dell’autenticazione sull’endpoint MCP e sui webhook, limiti sulle route sensibili dell’API e blocchi temporanei degli accessi.
• Autenticazione a due fattori opzionale (app di autenticazione TOTP, con codici di recupero monouso) per l’accesso con e-mail e password. L’accesso con Google usa il secondo fattore del tuo account Google.
• Gli eventi di sicurezza (accessi negati, tentativi tra tenant bloccati, limitatori attivati, firme webhook non valide) sono registrati in un unico flusso di eventi strutturato.
• Backup del database cifrati e verificati con copie off-site; un runbook scritto per la gestione degli incidenti con obiettivo di notifica entro 72 ore.
• Audit delle dipendenze, scansione dei segreti e SBOM a ogni modifica.

Policy sulle API di Google

L’uso dei dati utente di Google da parte di GSC Magic rispetta la Google API Services User Data Policy, compresi i requisiti di Limited Use. Usiamo i dati solo per fornire le funzioni che vedi, non li vendiamo e non li usiamo per addestrare modelli. Dettagli nell’informativa sulla privacy.

Segnala una vulnerabilità

Scrivi a security@gscmagic.com. Confermiamo la ricezione entro 2 giorni lavorativi e condividiamo una valutazione entro 5. I dettagli leggibili da macchina sono in /.well-known/security.txt.

Domande