ستشترط <bdi dir="ltr">Google Ads API</bdi> استخدام مفاتيح المرور اعتباراً من أغسطس 2026

ستبدأ Google باشتراط استخدام مفاتيح المرور في مسار تسجيل الدخول الخاص بـGoogle Ads API الذي يُصدر بيانات اعتماد جديدة، ويبدأ طرح هذا التغيير تدريجياً في 5 أغسطس 2026. ويتعين على مسار مصادقة المستخدم الذي يُصدر OAuth 2.0 refresh tokens جديدة إتمام تحدي مفتاح المرور، ولن يُقبل بعد الآن تسجيل الدخول بكلمة المرور وحدها أو أساليب التحقق الثنائي القديمة، مثل رموز SMS وكلمات المرور المؤقتة لمرة واحدة القائمة على الوقت (TOTP)، لهذه الخطوة. وبالنسبة للعلامات التجارية والوكالات التي تدير حملات Google Ads على نطاق واسع عبر الأتمتة، فهذا موعد نهائي أمني صارم لا ترقية اختيارية.

ماذا حدث

في 27 يوليو 2026، أعلنت Google Ads Developer Blog أن «Google Ads API ستبدأ في اشتراط مفاتيح المرور لمستخدمي Google Ads API». ومن المقرر أن يبدأ الطرح في 5 أغسطس وأن يصل إلى جميع المستخدمين خلال الأسابيع القليلة التالية.

ينطبق هذا الشرط على مسار مصادقة المستخدم الذي يُصدر OAuth 2.0 refresh tokens جديدة. أما refresh tokens الحالية فلا تتأثر: إذ تستمر في العمل، ولن يُطلب من عمليات التكامل إعادة التفويض عند استبدالها بـaccess tokens. والذي يتغير هو فعل تفويض رمز جديد. سيُطلب من المستخدمين الجدد تسجيل الدخول بمفتاح مرور، وإذا لم يكن لديهم واحد فسيُطلب منهم إنشاؤه. وتشير Google أيضاً إلى مهلة أمنية تصل إلى سبعة أيام قبل أن يصبح مفتاح المرور المُنشأ حديثاً موثوقاً وقابلاً للاستخدام، ولهذا تنصح بإعداده مسبقاً بدلاً من انتظار اللحظة التي يجب فيها إصدار الرمز.

ويمتد نطاق هذا الشرط إلى ما هو أبعد من الشيفرة البرمجية المكتوبة مباشرة مقابل الواجهة البرمجية. وذكرت Google أن Google Ads Editor وGoogle Ads scripts وBigQuery Data Transfer Service وموصلات Data Studio هي من بين الأدوات التي ستبدأ أيضاً في اشتراط المصادقة القائمة على مفاتيح المرور.

لماذا يهم الأمر

تُعد كلمات المرور، ورموز التحقق لمرة واحدة عبر SMS أو التطبيقات، هي بالضبط العوامل التي تُبنى عليها هجمات التصيد الاحتيالي والاستيلاء على الحسابات. ومفاتيح المرور مقاومة للتصيد الاحتيالي: فهي مرتبطة بالموقع الشرعي، ولا يمكن انتحالها أو إعادة استخدامها كما يحدث مع كلمة المرور أو الرمز لمرة واحدة، وبذلك يُغلق هذا التغيير طريقاً مألوفاً للوصول إلى حسابات إعلانية تحمل ميزانيات وبيانات عملاء. أما الجانب التشغيلي فهو المقابل: أي فريق قام بأتمتة إصدار الرموز على افتراض أن كلمة المرور مع رمز لمرة واحدة كافيان، أصبح أمامه الآن خطوة لا يمكن لسكربت إتمامها بصمت.

ماذا يعني هذا للعلامات التجارية متعددة الفروع

بالنسبة لفريق تسويق مركزي أو فريق تقنيات تسويق يدير حملات Google Ads عبر مئات أو آلاف الفروع، يكمن الخطر هنا في انقطاع صامت في الأتمتة أكثر منه في تسجيل دخول مُقفل. فعمليات الرفع الجماعي عبر Google Ads Editor، والسكربتات المجدولة، وعمليات نقل بيانات BigQuery تعتمد كلها على مسار الرموز الذي يتغير الآن، والرمز الذي لا يمكن إعادة إصداره في أغسطس يوقف خط العمل الذي يغذيه.

والعمل المطلوب قبل الموعد النهائي هو حوكمة، لا نقرات. فيجب حصر كل عملية تكامل وكل موصل يشغل مسار مصادقة المستخدم مقابل Google Ads API، لأن هذا هو المسار الذي يتغير؛ أما وصول حساب الخدمة فيستخدم بيانات اعتماد خاصة به وليس جزءاً من هذا الشرط. ويجب التأكد من هويات المستخدمين التي تُصدر refresh tokens جديدة، والتأكد من تسجيل مفتاح مرور موثوق لكل هوية من هذه الهويات الآن، مع مراعاة مهلة الثقة البالغة سبعة أيام. كما يجب تحديد من يحتفظ بمفاتيح المرور للحسابات المشتركة أو التي يديرها فريق، وتوثيق ذلك، حتى لا يصبح جهاز موظف واحد مغادر سبباً في تعذر إعادة مصادقة أسطول حملات وطني بأكمله. وتشديد الوصول إلى المنصات التي تحمل بيانات حضوركم وإعلاناتكم هو نفس الانضباط الذي يقف خلف وضع PinMeTo في شهادة ISO 27001 وإقامة البيانات في الاتحاد الأوروبي: تحكموا في من وما يمكنه الوصول إلى الحسابات، وأثبتوا ذلك.

«ستبدأ Google Ads API في اشتراط مفاتيح المرور لمستخدمي Google Ads API.»

Google Ads Developer Blog

خلاصة القول

تستمر الأتمتة الحالية في العمل بـrefresh tokens الحالية الخاصة بها، ولا تتأثر عمليات تحديث access tokens الروتينية، لذا لا شيء يتعطل في 5 أغسطس نفسه. ويكمن التعرض للخطر في المرة الأولى التي تحتاج فيها كل عملية تكامل إلى إصدار OAuth refresh token جديد بعد بدء الطرح، وعندها يتحول غياب مفتاح المرور إلى توقف في سير العمل. وعلى العلامات التجارية التي تدير حملات Google Ads وبيانات فروعها عبر API Suite من PinMeTo وتنسق نشاطها الإعلاني المحلي المدفوع عبر الحملات الإعلانية المحلية أن تُسجل مفاتيح المرور وتحدد المسؤولية عنها الآن، قبل أن يبدأ الطرح في 5 أغسطس ويصل إلى حساباتها خلال الأسابيع التالية، وأن تراعي مهلة الثقة البالغة سبعة أيام عند القيام بذلك.