Evita el abuso de la API de Gemini con la Verificación de aplicaciones de Firebase

Cuando llamas a una API directamente desde una app web o para dispositivos móviles, la API es vulnerable al abuso por parte de clientes no autorizados. Si quieres llamar a la Gemini API directamente desde tu app web o para dispositivos móviles, debes protegerla contra abusos con Firebase AI Logic y aplicando Firebase App Check. Cuando apliques App Check, solo se permitirán las solicitudes entrantes que se verifiquen que provienen de tu app real o de un dispositivo no alterado.

arrow_downward Ir a las instrucciones de configuración

Firebase AI Logic proporciona una puerta de enlace de proxy que te permite integrarte con Firebase App Check y proteger la Gemini API cuando tus apps web y para dispositivos móviles la llaman directamente. Cuando se aplica la App Check para Firebase AI Logic, ayuda a proteger tanto el Gemini Developer API como el Agent Platform Gemini API (formerly Vertex AI).

App Check para Firebase AI Logic también admite la protección contra repetición, lo que significa que un token de App Check solo se puede usar una vez.

Resumen general de cómo funciona App Check

Con App Check, los dispositivos que ejecutan tu app usan un proveedor de certificación de apps o de dispositivos que verifica uno o ambos de los siguientes aspectos:

• Las solicitudes se originan en tu app auténtica
• Las solicitudes se originan en un dispositivo auténtico, no adulterado

Esta certificación se adjunta a todas las solicitudes que tu app realiza con un SDK de Firebase AI Logic. Cuando se aplique la App Check, se rechazarán las solicitudes de clientes que no tengan una certificación válida, así como las solicitudes provenientes de una app o una plataforma que no autorizaste.

Cuando configures App Check, considera agregar protección contra repetición, que hace que los tokens de App Check sean de un solo uso. Esta opción ofrece una protección mejorada más allá de la protección inicial y te permite establecer un nivel de protección adecuado para tu app y tus casos de uso.

Puedes encontrar información detallada sobre App Check en su documentación, incluidas las descripciones de los proveedores de certificación y las cuotas y los límites aplicables.

Configurar App Check

Las siguientes instrucciones están optimizadas para configurar la aplicación de Firebase App Check en Firebase AI Logic.

Paso 1: Aplica App Check

A partir de principios de julio de 2026, durante el flujo de trabajo de configuración guiada en la consola de Firebase, Firebase aplicará automáticamente la Firebase App Check para Firebase AI Logic con el objetivo de ayudar a proteger el Gemini API.

Sin embargo, si ya habías configurado Firebase AI Logic en tu proyecto de Firebase antes de principios de julio de 2026 (o si no se aplica App Check por algún otro motivo), puedes aplicar App Check por tu cuenta con las siguientes instrucciones.

1. Verifica si ya se aplica App Check para Firebase AI Logic.

   1. En la consola de Firebase, ve a la pestaña Seguridad > Verificación de aplicaciones > APIs.

   2. Busca la fila de Firebase AI Logic. Si dice Unenforced, continúa con el resto de estas instrucciones.

2. Haz clic en la fila de Firebase AI Logic para ver los gráficos de métricas. Debajo de esos gráficos, haz clic en Configurar.

3. En la primera pantalla del cuadro de diálogo (Protección de referencia), selecciona Aplicada y, luego, haz clic en Continuar.

4. En la siguiente pantalla (Protección contra repeticiones), selecciona Inhabilitada y, luego, haz clic en Continuar.

5. En la pantalla final, revisa las consideraciones para aplicar App Check y asegurarte de que todo esté listo para aplicar App Check. Si tienes todo listo, haz clic en Continuar.

   No necesitas registrar tus apps si solo quieres aplicar App Check y únicamente usar el proveedor de depuración con Firebase AI Logic en una app de preproducción. Sin embargo, cuando tengas todo listo para lanzar tu app a los usuarios finales, deberás registrar tus apps como parte de la configuración de un proveedor de certificación de producción (como App Attest, Play Integrity o reCAPTCHA Enterprise).

Paso 2: Configura el proveedor de depuración para el desarrollo local

Para el desarrollo local, puedes configurar el proveedor de depuración de App Check y, al mismo tiempo, mantener la aplicación de App Check para Firebase AI Logic.

Paso 3: Configura App Check para los usuarios finales y la producción

Cuando esté todo listo para lanzar tu app a los usuarios finales, deberás registrar tus apps y configurar un proveedor de certificación de producción (como App Attest, Play Integrity o reCAPTCHA Enterprise).

1. Elige un proveedor de certificación de producción y sigue las instrucciones de implementación que se indican en los siguientes vínculos:

   • Plataformas de Apple: DeviceCheck, App Attest o reCAPTCHA Enterprise
   • Android: Play Integrity o reCAPTCHA Enterprise
   • Web: reCAPTCHA Enterprise
   • Flutter: Admite todos los proveedores anteriores, incluidos reCAPTCHA Enterprise
     Si usas versiones anteriores del complemento, consulta la nota sobre la creación de instancias especial que aparece a continuación para Flutter y App Check.
   • Unity: Admite todos los proveedores anteriores (próximamente se admitirá reCAPTCHA Enterprise)

   Ten en cuenta que, si ninguno de estos proveedores de certificación es suficiente para tus necesidades, puedes implementar un proveedor personalizado que use un proveedor de certificación de terceros o tus propias técnicas de certificación.

2. (Recomendado) Mejora la protección agregando la protección contra repetición, lo que significa que un token de App Check solo se puede usar una vez.

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

Mejora la protección agregando protección contra repeticiones

De forma predeterminada, App Check usa tokens de sesión que tienen un tiempo de actividad (TTL) configurable de entre 30 minutos y 7 días. El SDK de App Check almacena en caché estos tokens de sesión, que se envían junto con las solicitudes de tu app y se pueden volver a usar hasta que venza su TTL. El uso de tokens de sesión se considera una protección de referencia.

Sin embargo, puedes mejorar la protección más allá de esta protección de referencia aplicando la protección contra repetición, que usa tokens de uso limitado en su lugar. Cuando se aplica la protección contra repetición, sucede lo siguiente:

• App Check bloqueará las solicitudes a Firebase AI Logic que usen tokens de sesión. En cambio, App Check solo permitirá una solicitud a Firebase AI Logic si usa un token de uso limitado recién creado.

• Después de que se verifica el token de uso limitado, se consume para que solo se pueda usar una vez, lo que evita los ataques de repetición.

• El SDK de App Check genera un nuevo token de uso limitado para cada solicitud. Ten en cuenta que este proceso puede afectar tus solicitudes, ya que agrega latencia y, a veces, costo (según tu proveedor de certificación).

Configura y aplica la protección contra repeticiones

A continuación, se indica cómo configurar y aplicar la protección contra repeticiones:

1. Si aún no lo hiciste, configura App Check siguiendo las instrucciones que se encuentran más arriba en esta página.

2. Habilita el uso de tokens de uso limitado.

   En tu app, durante la creación de instancias, establece el parámetro useLimitedUseAppCheckTokens en true:

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Unity

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

3. Aplicar la protección contra la repetición

   1. En la base de código de tu app, asegúrate de haber habilitado el uso de tokens de uso limitado (consulta el paso anterior).

   2. En la consola de Firebase, ve a Seguridad > Verificación de aplicaciones.

   3. Expande la vista de métricas de Firebase AI Logic.

   4. Asegúrate de que la Protección de referencia esté Aplicada y, luego, haz clic en Continuar.

   5. Para la protección contra repeticiones, elige No aplicada (solo supervisión) o Aplicada.

      Ten en cuenta lo siguiente para decidir cuándo aplicar la protección contra repeticiones:

      • Te recomendamos que supervises tus solicitudes si es probable que una cantidad considerable de tus usuarios usen versiones anteriores de tu app sin el uso de tokens de uso limitado habilitado. Si aplicas la protección contra repeticiones de inmediato, se bloquearán las solicitudes de esos usuarios.

      • En particular, puedes supervisar la métrica No verificadas (token reutilizado), que es la cantidad de solicitudes que tienen un token que ya se usó en una solicitud anterior. Supervisa esta métrica en la consola de Firebase (ve a la pestaña Seguridad > Verificación de aplicaciones > APIs).

        Si una parte significativa de las solicitudes recientes se encuentra en esta categoría, puedes evitar interrumpir a los usuarios y considerar esperar para aplicar la protección contra reproducción hasta que más usuarios hayan actualizado la app a una versión que use tokens de uso limitado.

Comprender cómo se integra Firebase AI Logic con App Check

Para usar los SDKs de Firebase AI Logic, se debe habilitar la API de Firebase AI Logic (firebasevertexai.googleapis.com) en tu proyecto de Firebase. Esto se debe a que las solicitudes que realizan los SDK de Firebase AI Logic se envían primero al servidor de Firebase AI Logic, que actúa como una puerta de enlace de proxy en la que se realiza la verificación de Firebase App Check antes de que se permita que la solicitud continúe hacia Gemini API y acceda a los modelos de Gemini.

Preguntas frecuentes y solución de problemas

Encuentra preguntas frecuentes y solución de problemas o códigos de error adicionales relacionados con Firebase AI Logic.