Как проверить read-only доступ Google Ads для аудита

Read-only доступ Google Ads относится к роли в рекламном аккаунте. Он не открывает GA4, Менеджер тегов или Search Console. До аудита составьте список конкретных ресурсов, эффективных прав и проверок, разрешённых владельцем.

Название роли также не означает, что любое доступное действие обходится без изменений. Read-only в Google Ads позволяет выдавать доступ для почтовых уведомлений и редактировать отчёты. Если договорённость запрещает изменения, исключите эти действия из процедуры, даже когда роль их разрешает.

Что разрешает роль Google Ads

Таблица Google разрешает этой роли просматривать кампании и пользоваться планировщиками, видеть платёжные данные, редактировать и запускать отчёты о кампаниях и платежах, получать уведомления и отчёты, просматривать пользователей, менеджеров и связи продуктов, а также выдавать доступ для почтовых уведомлений.

Изменение кампаний оставлено ролям Standard и Admin. Способ аутентификации и время последнего входа каждого пользователя видит Admin. Для управления связями продуктов и более широкого управления доступом тоже действуют отдельные требования. Запрашивайте у владельца конкретное недостающее наблюдение.

Разрешение просматривать кампании не доказывает доступность каждого диагностического экрана. Для запланированной проверки отметьте, открылся ли нужный экран или ресурс API. Если нет, вывод остаётся непроверенным: отсутствие доступа не означает отсутствия настройки.

Запишите права остальных сервисов отдельно

Viewer в GA4 видит настройки и данные, может создавать, менять и удалять собственные исследования. Эффективные права объединяют прямые и унаследованные назначения. Ограничения данных запишите отдельно: одного названия роли недостаточно. Назначение ролей требует Administrator на соответствующем уровне аккаунта или ресурса.

GTM разделяет Admin и User на уровне аккаунта и No access, Read, Edit, Approve, Publish на уровне контейнера. Read позволяет просматривать теги, триггеры и переменные без изменений. Проверьте каждый нужный контейнер. Доступ к аккаунту не подтверждает доступ ко всем контейнерам. Прежде чем обещать сравнение публикации с рабочей областью, проверьте доступность конкретной версии или представления.

Владелец Search Console управляет ресурсом и пользователями. Full открывает все данные и часть действий, Restricted даёт просмотр большей части данных. Associate означает другой вид связи: он разрешает определённые связанные задачи, но не прямое открытие аккаунта Search Console и его данных. Такая связь не заменяет доступ к ресурсу для аудита.

Разделите OAuth, роль пользователя и уровень API

Справочник scopes указывает https://www.googleapis.com/auth/adwords. Документация модели доступа прямо говорит, что Google Ads API не использует разные OAuth scopes для чтения и записи. Выдача scope сама по себе не открывает аккаунт клиента.

Запросы API подчиняются ролям Google Ads и их наследованию в иерархии аккаунтов. При конфликте ролей путь через аккаунт в login-customer-id определяет эффективные права. Запишите, кто авторизовал запрос, какой аккаунт запрашивается и через какого менеджера. Роль Read-only на одном пути не подтверждает такую же роль на другом.

Уровень доступа проекта к API является отдельным ограничением. В таблице четыре уровня: Test, Explorer, Basic и Standard. Test работает с тестовыми аккаунтами; остальные перечисленные уровни допускают тестовые и рабочие аккаунты с предусмотренными лимитами. Эти уровни определяют доступность API и объём операций, а не роль администратора рекламного аккаунта.

Используемые методы должны соответствовать договорённости об аудите, даже если учётные данные позволяют больше. Ни scope, ни уровень проекта нельзя объявлять гарантией режима чтения. Отдельный слой разобран в аудите доступа к Google Ads API.

Классифицируйте проверки до сбора выводов

Открытие или перезагрузка посадочной страницы может запустить теги и создать измерительный трафик. Называть такую проверку лишённой последствий только потому, что используется HTTP-чтение, нельзя. Заранее определите, как отличать тест от обычных данных.

Отсутствие рекламного идентификатора клика в наборе для сопоставления может быть проблемой схемы данных, а не прав. До повышения доступа назовите нужное поле и его источник. Проверки загрузки отдельно рассмотрены в аудите импорта офлайн-конверсий.

Сохраните сведения о доступе рядом с выводом

Запишите сервис, идентификатор ресурса, эффективную роль, ограничения, дату наблюдения и место хранения подтверждения. Примеры и шаблоны обозначайте как примеры. Не заполняйте их выдуманной датой так, будто проверка уже выполнена.

Отделяйте просмотр конфигурации от проверки работы. Видимая настройка конверсии не доказывает, что реальное событие дошло. Конверсия в отчёте сама по себе не подтверждает именно ту связь с рекламой, которую вы хотели получить. Укажите, какое наблюдение поддерживает каждый вывод.

При нехватке доступа запросите у владельца ограниченную запись или нужное право. Открытая проверка должна остаться в отчёте, чтобы следующий читатель не принял отсутствие проверки за успешный результат. При сравнении расходов разных сервисов фиксируйте и определения показателей: аудит расходов Ads и GA4 разбирает расхождения, которые сменой роли не устранить.

Источники