Byggt så att en agent kan titta men inte röra.

Du styr skrivåtkomsten

Vid inloggning med Google begärs åtkomst till Search Console och skrivskyddad åtkomst till GA4 i ett enda godkännande. Skrivverktyg finns bara i Pro och Agency: skrivläget slås på när Google beviljar fullständig åtkomst till Search Console, och arbetsytans ägare kan stänga av det i Settings när som helst. Medlemskonton är alltid skrivskyddade, läsare får inga verktyg alls, och åtkomsttoken kan skapas som skrivskyddade med ett utgångsdatum. Servern kontrollerar läget vid varje förfrågan, och en klient kan inte ta sig förbi det.

OAuth, inga hemligheter som kan läcka

Du skapar aldrig ett Google Cloud-projekt, laddar aldrig ner en JSON-nyckel och klistrar aldrig in en klienthemlighet. Claude, ChatGPT, Claude Code och Cursor ansluter via OAuth 2.1 med dynamisk klientregistrering och PKCE. Godkännandesidan är vår egen och visar exakt vilken klient som frågar och vart den återvänder. Uppdateringstoken roteras med ett kort återanvändningsfönster, så ett förlorat svar loggar inte ut någon.

Behörigheter beräknas vid varje förfrågan

Varje verktygsanrop kontrolleras mot din plan, de Google-behörigheter du faktiskt har godkänt, de nycklar du har lagt till och, i Agency, kundgruppen för den person eller token som gör anropet. En medlem som är kopplad till en kund kan inte fråga efter en annan kunds egendom, inte ens indirekt: varje argument som väljer en webbplats valideras mot behörigheten, med exakt värdnamnsmatchning, så en behörighet för www.acme.com öppnar inte sc-domain:acme.com.

Hantering av data

• Token och klientnycklar krypteras i vila med AES-256-GCM i en nyckelring som stöder rotation.
• Lagrad statistik från Search Console, Bing och GA4 hör till din arbetsyta och raderas tillsammans med den. Exportera allt som JSON och CSV från ”Settings” när som helst.
• Loggar över verktygsanrop sparar metadata i 30 dagar (verktygsnamn, klient, utfall) men inga sökresultat.
• Det hostade läget skriver aldrig exporter till serverns disk.
• Hämtningen av din robots.txt och dina webbplatskartor för webbplatsgranskningen är skyddad mot privata nätverk och omdirigeringstrick.

Drift

• HTTPS överallt med HSTS, strikta säkerhetshuvuden på dashboarden och API:et och inga cookies på MCP-slutpunkten.
• Hastighetsgränser före autentisering på MCP-slutpunkten och webhooks, gränser för känsliga rutter i API:et och utelåsning vid inloggningsförsök.
• Valfri tvåfaktorsautentisering (TOTP-app, med engångskoder för återställning) vid inloggning med e-post och lösenord. Inloggning med Google använder din Google-kontos egen andra faktor.
• Säkerhetshändelser (nekade inloggningar, blockerade försök mellan kunder, träffar i hastighetsgränser, felaktiga webhook-signaturer) loggas som en enda strukturerad händelseström.
• Krypterade, verifierade databasbackuper med kopior på annan plats och en skriftlig rutin för incidenthantering med målet att anmäla inom 72 timmar.
• Beroendegranskningar, hemlighetsskanning och en SBOM körs vid varje ändring.

Googles API-policy

GSC Magics användning av Googles användardata följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use). Vi använder data bara för att tillhandahålla de funktioner du ser, vi säljer dem inte och vi använder dem inte för att träna modeller. Mer information finns i integritetspolicyn.

Rapportera en sårbarhet

Skriv till security@gscmagic.com. Vi bekräftar inom 2 arbetsdagar och delar en bedömning inom 5. Maskinläsbara uppgifter finns i /.well-known/security.txt.

Frågor