Connecting an ad account means trusting us with something that spends money. This is how we treat that trust.
Last updated: 18 October 2026
Безпека
Як ми захищаємо доступ, який ви нам даєте
Під’єднати рекламний кабінет — означає довірити нам те, що витрачає гроші. Ось як ми ставимося до цієї довіри.
Оновлено: 18 жовтня 2026 р.
Every change waits for «Approve»
PlugAds proposes; you approve in the panel or the Telegram mini app. The change is rebuilt at approval and applied only if it matches what you saw. AI assistants can’t approve. Budget caps refuse anything above your daily ceiling, new campaigns start paused, and there’s no delete tool.
Encryption
HTTPS only, with HSTS. OAuth tokens, payment tokens, inbox conversations and captured contacts are encrypted at rest (AES-256-GCM, bound to your workspace), decrypted only in memory, and never sent to AI assistants.
Least-privilege permissions
Only the scopes the features need, each asked for when you turn the feature on. Each AI assistant connects with its own PlugAds token that you can revoke without touching Google or Meta.
Change log
Every proposal, approval, rejection and applied change, with the time and who did it, including the guardian’s automatic pause if you enabled that rule.
A tag that respects visitors
No cookies and nothing stored in the browser before consent; session replays only after consent, with typed text hidden and password and card fields never recorded; Do Not Track and GPC honoured.
Limits against abuse
Rate limits on requests and on changes, limits on credit purchases for new accounts, and an optional monthly spending cap on credit top-ups.
Permissions, exactly
Google: sign-in (openid, email, profile); https://www.googleapis.com/auth/adwords when you connect Google Ads; optionally analytics.readonly and webmasters.readonly (read only) for Google Analytics and Search Console, and datamanager to send the leads and deals you mark to your Google Ads.
Meta:ads_read, ads_management, business_management; instagram_business_manage_messages only if you connect Instagram Direct to the inbox. Every Graph API call is signed with appsecret_proof.
How each permission is used is described in the Privacy Policy.
Infrastructure and access
PlugAds runs on Cloudflare Workers: there are no servers of our own to patch, and requests are isolated from each other.
Secrets such as API credentials are stored as encrypted Cloudflare secrets, never in code, and are never logged.
Webhooks are verified: monobank payment notifications by their ECDSA signature, Telegram updates by a secret token, the Telegram mini app by Telegram’s signed sign-in data.
Production access is limited to the operator, with two-factor authentication on Cloudflare, Google and Meta developer accounts.
We keep third-party dependencies to a minimum and don’t use advertising or analytics trackers, on plugads.io or in the panel.
Incident response
If we detect a security incident, we contain it first, revoking affected tokens where needed, and then investigate. If personal data is affected, we notify the competent supervisory authority within 72 hours where the GDPR requires it, and affected users without undue delay, with what happened and what we’re doing about it.
Report a vulnerability
Email support@plugads.io with the subject “Security”. We acknowledge reports within 3 business days and keep you updated until the issue is fixed. Please don’t access or change data that isn’t yours, don’t run denial-of-service or automated scanning at volume, and give us reasonable time to fix the issue before disclosing it. We won’t take action against good-faith research that follows these rules. Our security.txt has the same details.
Кожна зміна чекає «Схвалити»
PlugAds пропонує, ви схвалюєте в панелі чи в міні-застосунку Telegram. Під час схвалення зміна збирається заново й застосовується, лише якщо збігається з тим, що ви бачили. ШІ-асистенти схвалювати не можуть. Ліміт бюджету відхиляє все понад вашу денну стелю, нові кампанії стартують на паузі, інструмента видалення немає.
Шифрування
Лише HTTPS із HSTS. Токени OAuth, платіжні токени, розмови у «Вхідних» і зібрані контакти зашифровані у сховищі (AES-256-GCM, прив’язано до вашого робочого простору), розшифровуються тільки в пам’яті й ніколи не передаються ШІ-асистентам.
Мінімальні дозволи
Лише ті доступи, які потрібні функціям, і кожен — тоді, коли ви вмикаєте функцію. Кожен ШІ-асистент під’єднується з власним токеном PlugAds, який можна відкликати, не чіпаючи Google чи Meta.
Журнал змін
Кожна пропозиція, схвалення, відхилення й застосована зміна — з часом і автором, зокрема автоматична пауза Охоронця, якщо ви ввімкнули це правило.
Тег, що поважає відвідувачів
До згоди — без cookies і без збереження в браузері; записи сесій — лише після згоди, введений текст приховано, поля паролів і карток не записуються ніколи; Do Not Track і GPC враховуються.
Ліміти проти зловживань
Ліміти частоти запитів і змін, ліміти на купівлю кредитів для нових акаунтів і місячна стеля витрат на докупку кредитів, якщо ви її задали.
Дозволи — точно
Google: вхід (openid, email, profile); https://www.googleapis.com/auth/adwords, коли ви під’єднуєте Google Ads; за бажанням — analytics.readonly і webmasters.readonly (лише читання) для Google Analytics і Search Console та datamanager, щоб надсилати позначені вами звернення й угоди у ваш Google Ads.
Meta:ads_read, ads_management, business_management; instagram_business_manage_messages — лише якщо ви під’єднали Instagram Direct до «Вхідних». Кожен виклик Graph API підписується appsecret_proof.
PlugAds працює на Cloudflare Workers: власних серверів, які треба оновлювати, у нас немає, а запити ізольовані один від одного.
Секрети, як-от облікові дані API, зберігаються як зашифровані секрети Cloudflare, ніколи — у коді, і ніколи не потрапляють у журнали.
Вебхуки перевіряються: сповіщення monobank про оплату — за підписом ECDSA, оновлення Telegram — за секретним токеном, міні-застосунок Telegram — за підписаними даними входу від Telegram.
Доступ до робочого середовища має лише оператор, з двофакторною автентифікацією в Cloudflare та в акаунтах розробника Google і Meta.
Ми мінімізуємо сторонні залежності й не використовуємо рекламних чи аналітичних трекерів — ні на plugads.io, ні в панелі.
Реагування на інциденти
Якщо ми виявляємо інцидент безпеки, спершу локалізуємо його, за потреби відкликаючи уражені токени, а тоді розслідуємо. Якщо зачеплено персональні дані, ми повідомляємо відповідний наглядовий орган протягом 72 годин, якщо цього вимагає GDPR, а зачеплених користувачів — без зайвої затримки: що сталося і що ми робимо.
Повідомити про вразливість
Напишіть на support@plugads.io з темою «Security». Ми підтверджуємо отримання протягом 3 робочих днів і тримаємо вас у курсі, доки проблему не виправлено. Будь ласка, не отримуйте доступу до чужих даних і не змінюйте їх, не влаштовуйте DoS чи масового автоматичного сканування й дайте нам розумний час на виправлення до розголошення. Ми не переслідуємо сумлінних дослідників, які дотримуються цих правил. Ті самі дані є в нашому security.txt.