С 5 августа 2026 года Google делает использование passkeys обязательным для генерации новых OAuth 2.0 refresh-токенов в Google Ads API. Компания убирает традиционные пароли и SMS-двофакторку, чтобы усложнить кражу доступа к бюджетам. Для арбитражных команд, агентств и разработчиков SaaS-сервисов это означает новую проблему с доступами: свежие ключи безопасности могут блокировать вход на 7 дней.
Что именно меняется в алгоритме авторизации
Переход на обязательные passkeys касается только user authentication workflow. Обновление будет раскатываться постепенно в течение нескольких недель после старта.
Основные факты об обновлении:
Старые методы отпадают. Пароли, SMS-коды и TOTP-приложения больше не подходят для подтверждения доступа при генерации новых refresh-токенов.
Текущие токены работают. Уже существующие OAuth-токены не подпадают под новые правила. Переавторизация для работающих сервисов не нужна.
Service accounts без изменений. Если ваши приложения используют Service accounts для автоматизации (например, выгрузка статистики по API), ничего менять не нужно. Google рекомендует именно этот метод для бэкенд-интеграций.
Почему Google это делает
В 2026 году кража рекламных аккаунтов стала массовой. Кабинеты агентств взламывали через фишинг и перехват сессий, чтобы получить доступ к клиентским бюджетам.
Google еще в середине июля ввел обязательные passkeys для критических действий в веб-интерфейсе (расшаривание доступа, изменение платежек). Теперь требование перенесли на уровень API, через который внешние платформы управляют кампаниями, бюджетами и структурой заливки.
Passkey жестко привязан к физическому устройству через Face ID, Touch ID или PIN-код. Его нельзя перехватить через фейковую страницу логина.
Ловушка на 7 дней: чем это грозит медиабаерам
Проблема для агентств и команд заключается в механике доверия новых ключей. Новосозданный passkey получает статус доверенного не сразу. В зависимости от доверия аккаунта, Google может наложить 7-дневную безопасную задержку.
Если клиент или баер попробует создать passkey в день привязки аккаунта к трекеру или спай-тула, интеграция зависнет на неделю. Система не отправит уведомлений о блокировке — процесс входа просто не завершится до конца холда. Ключи нужно генерировать заранее на тех устройствах, с которых идет реальная работа.
Какие еще инструменты попали под раздачу
Обновление затронет не только самописные тулзы, но и всю аналитику на базе Google Ads API. Правило обязательного passkey также будет действовать для:
➡️ Google Ads Editor ➡️ Google Ads Scripts ➡️ BigQuery Data Transfer Service ➡️ Looker Studio
Если баер попробует подтянуть данные в Looker Studio или запустить скрипт через личный токен без настроенного passkey, система выдаст ошибку и заставит создавать ключ. Это опять же грозит холдом на 7 дней.
Как адаптировать арбитражную инфраструктуру
Техническим командам придется пересмотреть текущие интеграции, чтобы не поймать стоп во время масштабирования.
Проведите ревизию токенов. Найдите все скрипты и тулзы, которые работают через личные OAuth-токены сотрудников (User authentication workflow).
Перейдите на Service accounts. Фоновые процессы (обновление аудиторий, автоставки, бэкапы в BigQuery) лучше перевести на сервисные аккаунты. Это отвязывает инфраструктуру от конкретного баера. Если человек увольняется, интеграция не ломается.
Генерируйте ключи заранее. Баерам и фармерам нужно зайти в настройки безопасности Google-аккаунтов и создать passkeys уже сейчас. Из-за возможной задержки ключи должны отлежаться и получить доверие до того, как понадобятся для работы с API.
Выводы
Требование генерировать passkeys для новых OAuth-токенов ударит по скорости онбординга новых клиентов и интеграций. Рабочие инструменты не отвалятся, но для новых подключений после 5 августа агентствам придется закладывать недельный холд на апрув ключа. Оптимальный вариант для автоматизации заливки — перевести бэкенд на Service accounts, где не нужна ручная авторизация через устройства 😬