OAuth e Hierarquia de Contas
Para ler os dados de performance das suas plataformas (Meta Ads, Google Ads e Google Analytics) e para descobrir e ativar as contas delas, o TagServer precisa de uma conexão autorizada. Essa conexão usa OAuth, e é ela que permite ao TagServer enxergar a estrutura das suas contas de marketing.
Por que OAuth e não a sua senha
OAuth (Open Authorization) é o padrão de mercado para autorização delegada. Em vez de entregar a sua senha ao TagServer, você autoriza o acesso a dados de marketing específicos (custo de anúncios, contagem de conversões) sem compartilhar a senha.
O login acontece direto no ambiente seguro do Google ou da Meta, e o TagServer não vê a sua senha. O que a plataforma parceira devolve é um token de acesso, e é com esse token que o servidor conversa com a API dela em seu nome.
A credencial é pessoal: pertence a quem conectou, não ao workspace, e acompanha você em todos os workspaces de que participa. A fonte de coleta criada a partir dela, por outro lado, é do workspace. Uma fonte que um colega conectou fica visível para todo o workspace, e você pode vinculá-la a um dashboard mesmo sem ter conectado nada. O que fica restrito é gerenciá-la: só o dono da credencial pausa ou remove a fonte. Por isso as fontes que vêm de uma conexão OAuth mostram um "Responsável", com o nome ou e-mail de quem conectou. Numa agência com vários operadores, isso deixa claro quem responde por cada fonte.
Você pode desconectar uma plataforma quando quiser, e desconectar remove apenas a sua credencial daquela plataforma. A consequência aparece nas fontes que dependiam dela: elas podem parar de coletar. Continuam listadas, mas ficam órfãs, sem Responsável, e aí qualquer membro do workspace pode pausá-las ou removê-las. Você pode reconectar a qualquer momento.
Os escopos pedidos às três plataformas com hierarquia de contas são estes: o Google Analytics pede https://www.googleapis.com/auth/analytics.readonly mais userinfo.email; o Google Ads pede https://www.googleapis.com/auth/adwords mais userinfo.email; e a Meta Ads pede ads_management, ads_read e business_management.
Nota
Para Meta Ads, Google Ads e Google Analytics, a conexão OAuth serve à leitura de performance para relatórios e à descoberta e ativação de contas de Tier 1 e Tier 2. O envio de eventos via CAPI dessas plataformas não passa por ela: usa o token do próprio Pixel. O TagServer não pede permissões além do necessário para a ferramenta específica.
As mesmas Conexões do app também listam LinkedIn Ads e Google Ads (Conversões), que são outro caso: para esses dois, a conexão OAuth serve justamente para enviar conversões, e eles não entram na hierarquia de Tier 1 e Tier 2 descrita abaixo. O detalhe deles está em Plataformas e credenciais.
Hierarquia de contas: Tier 1 e Tier 2
As próprias plataformas de marketing organizam contas em duas camadas, e o TagServer reflete esse modelo. No topo existe um container organizacional, o Tier 1, que agrupa várias contas operacionais, o Tier 2, onde os dados de fato existem e os eventos são processados.
O Tier 1 é o nível mais alto, que reúne várias contas:
| Plataforma | Tier 1 |
|---|---|
| Meta Ads | Business Manager (BM) |
| Google Ads | conta gestora (manager account, MCC) |
| GA4 | Conta do Analytics |
O Tier 2 é a conta ativa, onde os eventos são processados:
| Plataforma | Tier 2 |
|---|---|
| Meta Ads | Conta de Anúncios (Ad Account) |
| Google Ads | Conta de Cliente individual |
| GA4 | Propriedade, identificada por um ID numérico |
A descoberta dessas contas acontece ao vivo, via API da plataforma, a partir do token: o Tier 1 lista os containers aos quais você tem acesso, e o Tier 2 lista as contas dentro de um Tier 1 que você escolher. Autenticar (a conexão OAuth) e descobrir ou ativar contas são etapas separadas no produto.
No vocabulário do sistema, essa conexão autorizada é uma connection, e cada conta de Tier 2 ativada para coleta é uma fonte de coleta (source): a origem de onde o TagServer lê os dados. É o oposto de um destino (destination), para onde os eventos são enviados.
Nem toda fonte vem dessa hierarquia. O próprio site rastreado também é uma fonte, sob a plataforma "Site (TagServer)", sem OAuth e sem Tier 1 ou Tier 2. Ela aparece sempre ativa entre as fontes, sem Responsável, porque um site é gerenciado na página de Subdomínios.
Por que essa estrutura importa
- Segurança: você ativa apenas as contas de Tier 2 que pretende usar, em vez de expor toda a organização. O controle de quais contas o TagServer pode acessar continua sendo seu.
- Organização: com contas separadas por Tier 2, você monta Dashboards distintos por cliente ou projeto, com dados isolados. O Dashboard é a unidade organizacional por cliente ou projeto, e a aba interna dele é a Página.
Veja também
No app, conectar e ativar contas acontece em duas telas: você autoriza a plataforma em Minha conta > Conexões e escolhe o Tier 1 e ativa as contas de Tier 2 em Análise > Fonte de dados. O passo a passo das duas está no guia de integrações, e para usar uma conta de Tier 2 como fonte de dados de um dashboard, veja Configurando conta OAuth no Dashboard.
- Relatórios e métricas: os relatórios e as métricas que cada plataforma conectada disponibiliza
- Plataformas e credenciais: referência das plataformas e credenciais suportadas