Bygget slik at en agent kan se, men ikke røre.

Du styrer skrivetilgangen

Google-innloggingen ber om tilgang til Search Console og skrivebeskyttet tilgang til GA4 i ett samtykke. Skriveverktøy finnes bare på Pro og Agency: skrivemodus slås på når Google gir full tilgang til Search Console, og eieren av arbeidsområdet kan slå den av i Settings når som helst. Medlemskontoer er alltid skrivebeskyttet, lesere får ingen verktøy i det hele tatt, og tilgangstokener kan opprettes som skrivebeskyttede med utløpstid. Serveren sjekker modusen ved hver forespørsel, og en klient kan ikke snakke seg rundt den.

OAuth, ingen hemmeligheter som kan lekke

Du oppretter aldri et Google Cloud-prosjekt, laster ned en JSON-nøkkel eller limer inn en klienthemmelighet. Claude, ChatGPT, Claude Code og Cursor kobler til via OAuth 2.1 med dynamisk klientregistrering og PKCE. Samtykkesiden er vår og viser nøyaktig hvilken klient som spør, og hvor den sendes tilbake. Oppdateringstokener roteres med et kort gjenbruksvindu, så et tapt svar logger ingen ut.

Tillatelser beregnes per forespørsel

Hvert verktøykall sjekkes mot planen din, Google-tilgangsomfangene du faktisk har gitt, nøklene du har lagt til og, på Agency, kundegruppen til personen eller tokenet som foretar kallet. Et medlem som er tildelt én kunde, kan ikke spørre mot en annen kundes eiendom, heller ikke indirekte: hvert argument som velger et nettsted, valideres mot tillatelsen med nøyaktig samsvar på vertsnavn, så en tillatelse for www.acme.com åpner ikke sc-domain:acme.com.

Håndtering av data

• Tokener og klientnøkler krypteres ved lagring med AES-256-GCM under en nøkkelring som støtter rotasjon.
• Lagret statistikk fra Search Console, Bing og GA4 er knyttet til arbeidsområdet ditt og slettes sammen med det. Eksporter alt som JSON og CSV fra «Settings» når som helst.
• Logger over verktøykall oppbevarer 30 dager med metadata (verktøynavn, klient, utfall) og ingen søkeresultater.
• Hostet modus skriver aldri eksporter til serverens disk.
• Henting av robots.txt og områdekart til nettstedsrevisjonen er beskyttet mot private nettverk og triks med omdirigeringer.

Drift

• HTTPS overalt med HSTS, strenge sikkerhetshoder i dashbordet og API-et, og ingen informasjonskapsler på MCP-endepunktet.
• Hastighetsbegrensning før autentisering på MCP-endepunktet og webhooks, grenser for sensitive ruter i API-et og innloggingslåsing.
• Valgfri tofaktorautentisering (TOTP-autentiseringsapp, med engangskoder for gjenoppretting) ved innlogging med e-post og passord. Google-innloggingen bruker Google-kontoens egen andre faktor.
• Sikkerhetshendelser (avviste innlogginger, blokkerte forsøk på tvers av kontoer, treff i hastighetsbegrenseren, ugyldige webhook-signaturer) logges som én strukturert hendelsesstrøm.
• Krypterte, verifiserte databasesikkerhetskopier med kopier utenfor stedet, og en skriftlig beredskapsrutine for hendelser med 72 timers varslingsmål.
• Avhengighetsrevisjoner, skanning etter hemmeligheter og en SBOM kjøres ved hver endring.

Googles API-policy

GSC Magics bruk av Google-brukerdata følger Google API Services User Data Policy, inkludert kravene til begrenset bruk (Limited Use). Vi bruker dataene bare til å levere funksjonene du ser, vi selger dem ikke, og vi bruker dem ikke til å trene modeller. Detaljer finner du i personvernerklæringen.

Meld fra om en sårbarhet

Skriv til security@gscmagic.com. Vi bekrefter mottak innen 2 virkedager og deler en vurdering innen 5. Maskinlesbare detaljer står i /.well-known/security.txt.

Spørsmål