Zbudowane tak, by agent mógł patrzeć, a nie dotykać.

Ty kontrolujesz dostęp do zapisu

Logowanie Google prosi w jednej zgodzie o dostęp do Search Console i do GA4 tylko do odczytu. Narzędzia zapisu istnieją tylko w planach Pro i Agency: tryb zapisu włącza się sam, gdy Google przyzna pełny dostęp do Search Console, a właściciel workspace może go w każdej chwili wyłączyć w Settings. Konta z rolą member zawsze mają tylko odczyt, rola viewer nie daje dostępu do żadnych narzędzi, a tokeny dostępu można wystawić jako tylko do odczytu, z terminem ważności. Serwer sprawdza tryb przy każdym żądaniu; klient nie obejdzie go żadnym wybiegiem.

OAuth, bez sekretów do wycieku

Nigdy nie tworzysz projektu Google Cloud, nie pobierasz klucza JSON ani nie wklejasz sekretu klienta. Claude, ChatGPT, Claude Code i Cursor łączą się przez OAuth 2.1 z dynamiczną rejestracją klienta i PKCE; strona zgody jest nasza i pokazuje dokładnie, który klient prosi o dostęp i dokąd wróci. Tokeny odświeżania są rotowane z krótkim oknem ponownego użycia, więc zgubiona odpowiedź nikogo nie wylogowuje.

Uprawnienia liczone przy każdym żądaniu

Każde wywołanie narzędzia jest sprawdzane pod kątem Twojego planu, zakresów Google, które faktycznie przyznano, dodanych kluczy oraz, w Agency, grupy klientów osoby lub tokenu, który je wykonuje. Osoba z rolą member przypisana do jednego klienta nie może odpytać usługi innego klienta, nawet pośrednio: każdy argument wybierający witrynę jest walidowany względem przyznanych uprawnień, z dokładnym dopasowaniem hosta, więc uprawnienie do www.acme.com nie otwiera sc-domain:acme.com.

Obsługa danych

• Tokeny i klucze klientów są szyfrowane w spoczynku algorytmem AES-256-GCM, w zestawie kluczy obsługującym rotację.
• Przechowywane statystyki Search Console, Bing i GA4 są powiązane z Twoim workspace i usuwane razem z nim. W każdej chwili wyeksportujesz wszystko jako JSON i CSV z Ustawień.
• Dzienniki wywołań narzędzi przechowują przez 30 dni metadane (nazwa narzędzia, klient, wynik), ale nie wyniki zapytań.
• Tryb hostowany nigdy nie zapisuje eksportów na dysku serwera.
• Pobieranie Twojego pliku robots.txt i map witryn na potrzeby audytu witryny jest zabezpieczone przed sieciami prywatnymi i sztuczkami z przekierowaniami.

Operacje

• HTTPS wszędzie z HSTS; rygorystyczne nagłówki bezpieczeństwa w panelu i API; brak plików cookie na endpoincie MCP.
• Limity zapytań przed uwierzytelnieniem na endpoincie MCP i webhookach, limity na wrażliwych trasach API oraz blokady logowania.
• Opcjonalne uwierzytelnianie dwuskładnikowe (aplikacja TOTP, z jednorazowymi kodami odzyskiwania) przy logowaniu e-mailem i hasłem. Logowanie przez Google korzysta z drugiego składnika Twojego konta Google.
• Zdarzenia bezpieczeństwa (odrzucone logowania, zablokowane próby dostępu między najemcami, uruchomienia limitów, błędne podpisy webhooków) są rejestrowane jako jeden ustrukturyzowany strumień zdarzeń.
• Zaszyfrowane, weryfikowane kopie zapasowe bazy danych z kopiami poza główną lokalizacją; spisany runbook reagowania na incydenty z docelowym czasem powiadomienia 72 godziny.
• Audyty zależności, skanowanie sekretów i SBOM przy każdej zmianie.

Polityka API Google

Wykorzystanie danych użytkownika Google przez GSC Magic jest zgodne z Google API Services User Data Policy, w tym z wymogami ograniczonego użycia (Limited Use). Używamy tych danych wyłącznie do świadczenia widocznych funkcji, nie sprzedajemy ich i nie trenujemy na nich modeli. Szczegóły w polityce prywatności.

Zgłoś podatność

Napisz na security@gscmagic.com. Potwierdzamy odbiór w ciągu 2 dni roboczych i przekazujemy ocenę w ciągu 5. Szczegóły w formacie czytelnym maszynowo znajdują się w /.well-known/security.txt.

Pytania