Google Ads đang yêu cầu khóa truy cập (passkey) trước khi cho phép các thao tác nhạy cảm như thêm người dùng, đổi quyền truy cập, liên kết tài khoản hay sửa thông tin thanh toán. Nếu tài khoản của bạn nằm trong diện áp dụng mà chưa có passkey, bạn vẫn đăng nhập và chạy quảng cáo được, nhưng sẽ bị chặn ở các thao tác này. Trong các cách tạo passkey, khóa bảo mật vật lý như YubiKey là lựa chọn an toàn nhất cho tài khoản quảng cáo.
Google Ads thay đổi gì?
Theo trang trợ giúp chính thức của Google Ads, khi hệ thống hỏi “Xác nhận đó là bạn” (Confirm it’s you) cho một thao tác nhạy cảm, bạn có thể phải dùng passkey để xác minh. Các thao tác nhạy cảm gồm:
- Thêm người dùng mới, xóa người dùng, đổi cấp quyền truy cập.
- Liên kết hoặc thay đổi liên kết tài khoản (ví dụ với tài khoản người quản lý MCC).
- Thay đổi thông tin thanh toán.
- Và một số thao tác khác. Google cho biết danh sách có thể mở rộng thêm.
Google không áp dụng đồng loạt. Tài khoản thuộc diện bắt buộc sẽ nhận email và thông báo ngay trong giao diện Google Ads. Theo email Google gửi nhà quảng cáo được các trang chuyên ngành trích lại, yêu cầu này bắt đầu từ ngày 15/7/2026.
Đi kèm còn hai thay đổi đáng chú ý:
- Hạn chế email miễn phí: ở một nhóm nhà quảng cáo thí điểm, người dùng có địa chỉ @gmail.com hay @yahoo.com bị chặn khi làm thao tác nhạy cảm. Google khuyên dùng email theo tên miền công ty.
- Bắt buộc passkey vĩnh viễn: quản trị viên có thể bật “Require passkeys for sensitive actions” trong Quản trị (Admin) > Tài khoản > Bảo mật. Khi bật, chỉ passkey và khóa bảo mật phần cứng được chấp nhận, SMS, mã OTP qua email hay thông báo trên điện thoại bị chặn hoàn toàn. Cài đặt này không tắt lại được.
Vì sao Google siết chặt?
Tài khoản Google Ads gắn trực tiếp với thẻ thanh toán và ngân sách quảng cáo. Kẻ gian chiếm được tài khoản có thể thêm người dùng của chúng, chạy quảng cáo lừa đảo bằng tiền của bạn, hoặc liên kết tài khoản sang MCC khác. Mật khẩu và mã OTP qua SMS đều có thể bị lấy qua trang đăng nhập giả. Passkey thì gắn với đúng tên miền của Google, nên không dùng được trên trang giả và không có mã nào để kẻ gian “xin” bạn nhập.
Passkey nào an toàn nhất? Khóa bảo mật YubiKey
Google Ads chấp nhận passkey lưu trên máy tính, trên điện thoại (quét mã QR) và khóa bảo mật phần cứng chuẩn FIDO2. Cả ba đều chống được trang đăng nhập giả. Nhưng YubiKey có những ưu điểm mà passkey trên điện thoại hay máy tính không có:
- Khóa riêng không rời khỏi thiết bị. Passkey trên YubiKey được tạo và giữ trong chip bảo mật của khóa, không sao chép ra ngoài được và không đồng bộ lên đám mây. Passkey đồng bộ (qua iCloud Keychain, Google Password Manager…) tiện hơn, nhưng an toàn phụ thuộc vào tài khoản đám mây đó.
- Phải có khóa trong tay và chạm vào. Mã độc trên máy tính hay kẻ gian từ xa không thể tự xác nhận thao tác. Bạn có thể đặt thêm mã PIN cho khóa.
- Không phụ thuộc điện thoại hay máy tính. Đổi máy, mất điện thoại hay cài lại hệ điều hành thì khóa vẫn dùng được. Google cũng lưu ý passkey tự tạo trên Android và trình duyệt trên Android hiện chưa dùng được cho thao tác nhạy cảm trên Google Ads. YubiKey cắm USB hoặc chạm NFC thì không gặp giới hạn này.
- Dùng chung một khóa cho nhiều tài khoản. Cùng một YubiKey bảo vệ được tài khoản Google, Microsoft, Facebook, sàn giao dịch crypto và các dịch vụ hỗ trợ FIDO2.
Với tài khoản quảng cáo chi tiêu hàng chục, hàng trăm triệu đồng mỗi tháng, chi phí một khóa bảo mật vật lý là rất nhỏ so với rủi ro mất tài khoản.
Nhà quảng cáo nên làm gì ngay?
- Kiểm tra trạng thái passkey của từng người: vào Quản trị > Quyền truy cập và bảo mật (Access and security) > Người dùng, xem cột “Passkey status”.
- Mỗi người một tài khoản, một khóa. Google nói rõ passkey luôn là của cá nhân, không hỗ trợ đăng nhập dùng chung. Không tạo passkey trên máy dùng chung.
- Đăng ký YubiKey sớm. Passkey mới mất khoảng 1–2 ngày để ghép với Google Ads và tới 7 ngày mới hoạt động đầy đủ cho mọi thao tác nhạy cảm. Đừng đợi đến lúc cần thêm người hay đổi thẻ mới làm.
- Đăng ký 2 khóa cho mỗi người (1 chính, 1 dự phòng cất nơi an toàn) để không bị khóa ngoài khi mất khóa.
- Chuyển người dùng sang email tên miền công ty thay cho Gmail, Yahoo và rà lại danh sách tên miền được phép (Allowed domains).
- Có ít nhất 2 quản trị viên đều đã có passkey, để luôn có người duyệt hoặc thực hiện thay đổi. Xóa người dùng không còn cần quyền truy cập.
- Cân nhắc bật bắt buộc passkey vĩnh viễn khi mọi người trong tài khoản đã sẵn sàng, vì cài đặt này không đảo ngược được.
Bạn cần khóa bảo mật cho tài khoản Google Ads của mình hoặc cả đội ngũ marketing? Xem các dòng YubiKey hỗ trợ FIDO2 tại DigiBit hoặc liên hệ để được tư vấn chọn khóa phù hợp với máy tính và điện thoại bạn đang dùng.
