8月5日から何が変わるのか
Googleは7月27日（現地時間）、Google Ads APIの利用者に対しパスキー認証を必須化すると開発者ブログで発表した。対象となるのは、APIのユーザー認証フローで新しいOAuth 2.0リフレッシュトークンを生成する場面だ。ロールアウトは8月5日に始まり、数週間かけて全ユーザーへ拡大する。
ポイントは4つある。第一に、この認証フローではパスキーがパスワード認証や、SMSコード・TOTP（時間ベースのワンタイムパスワード）といった従来型の二要素認証を置き換える。第二に、既存のリフレッシュトークンはそのまま動き続け、再認可は不要。第三に、パスキー未設定のユーザーは認証時に作成を促される。第四に、新規作成したパスキーには最大7日間の「セキュリティ遅延」が設けられる場合があり、その間は完全には信頼されない。
影響はAPIの直接利用者にとどまらない。Google Ads Editor、Google Ads スクリプト、BigQuery Data Transfer Service、Looker StudioといったAPI依存のツール群にも同じ要件が及ぶ。一方、サービスアカウントによる自動化ワークフローは対象外だ。
布石は7月に打たれていた
今回の発表は単発ではない。Google広告の管理画面側でも、7月15日から支払い情報の変更などの機微な操作にパスキーを求める運用が始まったと報じられている。管理画面とAPI、人間の操作と機械の接続——両面から認証水準を引き上げる一連の流れの一部と見るべきだろう。
背景にあるのは広告アカウントの乗っ取り被害だ。認証情報が盗まれれば、広告費の不正利用や不正広告配信の踏み台にされる。フィッシング耐性を持つパスキーへの移行には、この攻撃経路そのものを塞ぐ狙いがある。
「エージェントに門戸、人間には鍵」という同時進行
興味深いのは時期の重なりだ。HubSpotやWixが"AIスキル"を出品する——TikTok「Agentic Hub」が予告する、管理画面を人が触らない広告運用と、MCPという新たな主戦場で報じたとおり、TikTokはMCPサーバーを介してAIエージェントに広告運用を開放し始めた。Microsoft AdvertisingもMCPのヘルプドキュメントを公開したと報じられており、広告プラットフォームはAIエージェントとの正規の接続経路を急速に整備している。つまり業界は「機械には門戸を開き、人間の認証は厳格化する」方向へ同時に動いている。
これは筆者の見立てだが、エージェント経由の操作が増えるほど、その入口となる人間のアカウントが「最後の弱点」になる。APIキーやOAuthトークンを払い出せる人間さえ乗っ取れば、エージェントの自動化パイプラインごと悪用できるからだ。自動化の門を開くことと、人間側の鍵を強化することは、矛盾ではなくセットである。
日本の運用現場が8月までにやるべきこと
実務への影響が大きいのは、複数クライアントのトークンを扱う代理店と、広告主にOAuth連携させるレポーティング・運用SaaSのベンダーだ。とくに新規クライアントのオンボーディングでは、パスキー未設定と7日間の信頼遅延が重なると、想定外の待ち時間が発生しうる。
準備は3つに整理できる。(1)トークン発行に使うGoogleアカウントに今のうちにパスキーを設定しておく。遅延を避ける最も確実な方法だ。(2)社内で誰がどのアカウントでリフレッシュトークンを発行しているかを棚卸しする。担当者間でのアカウント共有運用は、この機会に見直したい。(3)レポーティングをLooker StudioやBigQuery DTSに依存している場合、コネクタ再認証のタイミングでパスキー要件に当たることを関係者に周知しておく。
既存トークンが動き続ける以上、当面は「何も起きない」ように見える。だが認証の詰まりは、いつも新規案件の初日に起きる。8月5日より前の10分の作業が、その事故を消してくれる。