Feito para o agente olhar, não mexer.

Você controla o acesso de escrita

O login com o Google pede acesso ao Search Console e acesso somente leitura ao GA4 em um único consentimento. As ferramentas de escrita existem apenas no Pro e no Agency: o modo de escrita é ativado assim que o Google concede acesso total ao Search Console, e o proprietário do workspace pode desativá-lo em Configurações a qualquer momento. Contas de membro são sempre somente leitura, visualizadores não recebem ferramenta alguma e os tokens de acesso podem ser gerados como somente leitura e com prazo de validade. O servidor confere o modo a cada requisição; nenhum cliente consegue contorná-lo na conversa.

OAuth, sem segredos para vazar

Você nunca cria um projeto no Google Cloud, baixa uma chave JSON nem cola um client secret. Claude, ChatGPT, Claude Code e Cursor se conectam por OAuth 2.1 com registro dinâmico de clientes e PKCE; a página de consentimento é nossa e mostra exatamente qual cliente está pedindo acesso e para onde ele vai retornar. Os refresh tokens são rotacionados com uma curta janela de reutilização, de modo que uma resposta perdida não desconecta ninguém.

Permissões calculadas a cada requisição

Cada chamada de ferramenta é verificada com base no seu plano, nos escopos do Google que você realmente concedeu, nas chaves que você adicionou e, no Agency, no grupo de clientes da pessoa ou do token que faz a chamada. Um membro atribuído a um cliente não consegue consultar a propriedade de outro, nem indiretamente: todo argumento que seleciona um site é validado em relação à concessão, com correspondência exata do host, de modo que uma concessão para www.acme.com não abre sc-domain:acme.com.

Tratamento dos dados

• Tokens e chaves de clientes são criptografados em repouso com AES-256-GCM, em um chaveiro que permite rotação.
• As estatísticas armazenadas do Search Console, do Bing e do GA4 ficam vinculadas ao seu workspace e são excluídas junto com ele. Exporte tudo em JSON e CSV em Configurações, quando quiser.
• Os logs de chamadas de ferramenta guardam 30 dias de metadados (nome da ferramenta, cliente, resultado) e nenhum resultado de consulta.
• O modo hospedado nunca grava exportações no disco do servidor.
• A busca do seu robots.txt e dos sitemaps para a auditoria do site é protegida contra redes privadas e truques de redirecionamento.

Operações

• HTTPS em todo lugar com HSTS; cabeçalhos de segurança rígidos no painel e na API; nenhum cookie no endpoint MCP.
• Limites de taxa antes da autenticação no endpoint MCP e nos webhooks, limites em rotas sensíveis da API e bloqueios de login.
• Autenticação em dois fatores opcional (app autenticador TOTP, com códigos de recuperação de uso único) para login com e-mail e senha. O login com o Google usa o segundo fator da própria conta do Google.
• Eventos de segurança (logins negados, tentativas bloqueadas entre tenants, acionamentos do limitador, assinaturas de webhook inválidas) são registrados em um único fluxo estruturado de eventos.
• Backups do banco de dados criptografados e verificados, com cópias fora do local; um runbook escrito de resposta a incidentes com meta de notificação em 72 horas.
• Auditorias de dependências, varredura de segredos e um SBOM rodam a cada alteração.

Política das APIs do Google

O uso de dados de usuário do Google pelo GSC Magic segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. Usamos os dados somente para oferecer os recursos que você vê, não os vendemos e não os usamos para treinar modelos. Detalhes na política de privacidade.

Relate uma vulnerabilidade

Escreva para security@gscmagic.com. Confirmamos o recebimento em até 2 dias úteis e enviamos uma avaliação em até 5. Os detalhes legíveis por máquina estão em /.well-known/security.txt.

Perguntas