Missbrauch der Gemini API mit Firebase App Check verhindern

Wenn Sie eine API direkt über eine mobile App oder Web-App aufrufen, ist die API anfällig für Missbrauch durch nicht autorisierte Clients. Wenn Sie die Gemini API direkt über Ihre mobile App oder Web-App aufrufen möchten, müssen Sie sie mit Firebase AI Logic vor Missbrauch schützen und Firebase App Check erzwingen. Wenn Sie App Check erzwingen, werden nur eingehende Anfragen zugelassen, die nachweislich von Ihrer tatsächlichen App und/oder einem nicht manipulierten Gerät stammen.

arrow_downward Zur Einrichtungsanleitung

Firebase AI Logic bietet ein Proxy-Gateway, mit dem Sie Firebase App Check einbinden und die Gemini API schützen können, wenn sie direkt von Ihren mobilen Apps und Web-Apps aufgerufen wird. Wenn App Check für Firebase AI Logic erzwungen wird, trägt dies zum Schutz von Gemini Developer API und Agent Platform Gemini API (formerly Vertex AI) bei.

App Check für Firebase AI Logic unterstützt auch den Schutz vor Replay-Angriffen. Das bedeutet, dass ein App Check-Token nur einmal verwendet werden kann.

Allgemeine Zusammenfassung der Funktionsweise von App Check

Mit App Check verwenden Geräte, auf denen Ihre App ausgeführt wird, einen App- oder Geräteattestierungsanbieter, der eines oder beides der Folgenden überprüft:

• Anfragen stammen von Ihrer authentischen App
• Anfragen stammen von einem authentischen, nicht manipulierten Gerät.

Diese Attestierung wird an jede Anfrage angehängt, die Ihre App mit einem Firebase AI Logic-SDK stellt. Wenn App Check erzwungen wird, werden Anfragen von Clients ohne gültige Attestierung abgelehnt. Das gilt auch für Anfragen, die von einer App oder Plattform stammen, die Sie nicht autorisiert haben.

Wenn Sie App Check einrichten, sollten Sie Schutz vor Replay-Angriffen hinzufügen, damit App Check-Tokens nur einmal verwendet werden können. Diese Option bietet einen erweiterten Schutz über den Basisschutz hinaus und ermöglicht es Ihnen, ein angemessenes Schutzniveau für Ihre App und Anwendungsfälle festzulegen.

Ausführliche Informationen zu App Check finden Sie in der Dokumentation, einschließlich Beschreibungen der Attestierungsanbieter sowie aller anwendbaren Kontingente und Limits.

App Check einrichten

Die folgende Anleitung ist für die Einrichtung der Firebase App Check-Durchsetzung für Firebase AI Logic optimiert.

Schritt 1: App Check durchsetzen

Ab Anfang Juli 2026 wird während des geführten Einrichtungsvorgangs in der FirebaseConsole automatisch Firebase App Check für Firebase AI Logic erzwungen, um die Gemini API zu schützen.

Wenn Sie Firebase AI Logic in Ihrem Firebase-Projekt jedoch bereits vor Anfang Juli 2026 eingerichtet haben (oder App Check aus einem anderen Grund nicht erzwungen wird), können Sie App Check selbst erzwingen. Folgen Sie dazu der Anleitung unten.

1. Prüfen Sie, ob App Check bereits für Firebase AI Logic erzwungen wird.

   1. Rufen Sie in der Firebase-Konsole den Tab APIs unter Sicherheit > App Check auf.

   2. Suchen Sie die Zeile für Firebase AI Logic. Wenn dort Unenforced steht, fahren Sie mit der restlichen Anleitung fort.

2. Klicken Sie auf die Zeile für Firebase AI Logic, um Messwertdiagramme aufzurufen. Klicken Sie unter diesen Grafiken auf Einrichten.

3. Wählen Sie auf dem ersten Bildschirm des Dialogfelds (Basisschutz) die Option Erzwungen aus und klicken Sie dann auf Weiter.

4. Wählen Sie auf dem nächsten Bildschirm (Replay-Schutz) die Option Deaktiviert aus und klicken Sie dann auf Weiter.

5. Sehen Sie sich auf dem letzten Bildschirm die Hinweise zur Durchsetzung von App Check an, um sicherzugehen, dass Sie bereit sind, App Check durchzusetzen. Wenn Sie bereit sind, klicken Sie auf Weiter.

   Sie müssen Ihre Apps nicht registrieren, wenn Sie nur App Check erzwingen und den Debug-Anbieter nur mit Firebase AI Logic in einer Pre-Production-App verwenden möchten. Wenn Sie Ihre App jedoch für Endnutzer veröffentlichen möchten, müssen Sie Ihre Apps im Rahmen der Einrichtung eines Produktionsattestierungsanbieters (z. B. App Attest, Play Integrity oder reCAPTCHA Enterprise) registrieren.

Schritt 2: Debugging-Anbieter für die lokale Entwicklung einrichten

Für die lokale Entwicklung können Sie den App Check-Debug-Anbieter einrichten und App Check für Firebase AI Logic weiterhin erzwingen.

Schritt 3: App Check für Endnutzer und Produktion einrichten

Wenn Sie Ihre App für Endnutzer veröffentlichen möchten, müssen Sie Ihre Apps registrieren und einen Attestierungsanbieter für die Produktion (z. B. App Attest, Play Integrity oder reCAPTCHA Enterprise) einrichten.

1. Wählen Sie einen Anbieter für die Produktionsbescheinigung aus und folgen Sie der Implementierungsanleitung unter den folgenden Links:

   • Apple-Plattformen: DeviceCheck oder App Attest oder reCAPTCHA Enterprise
   • Android: Play Integrity oder reCAPTCHA Enterprise
   • Web: reCAPTCHA Enterprise
   • Flutter: Unterstützt alle oben genannten Anbieter, einschließlich reCAPTCHA Enterprise
     . Wenn Sie ältere Plug-in-Versionen verwenden, lesen Sie den Hinweis zur speziellen Instanziierung unten für Flutter und App Check.
   • Unity: Unterstützt alle oben genannten Anbieter (Unterstützung für reCAPTCHA Enterprise ist demnächst verfügbar)

   Wenn keiner dieser Attestierungsanbieter Ihren Anforderungen entspricht, können Sie einen benutzerdefinierten Anbieter implementieren, der entweder einen Drittanbieter für die Attestierung oder Ihre eigenen Attestierungstechniken verwendet.

2. (Empfohlen) Schutz durch Hinzufügen von Schutz vor Replay-Angriffen verbessern, was bedeutet, dass ein App Check-Token nur einmal verwendet werden kann.

// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

Schutz durch Hinzufügen von Replay-Schutz verbessern

Standardmäßig verwendet App Check Sitzungstokens mit einer konfigurierbaren Gültigkeitsdauer (Time-to-Live, TTL) zwischen 30 Minuten und 7 Tagen. Diese Sitzungstokens werden vom App Check SDK im Cache gespeichert, zusammen mit Anfragen aus Ihrer App gesendet und können bis zum Ablauf ihrer TTL wiederverwendet werden. Die Verwendung von Sitzungstokens gilt als Basisschutz.

Sie können den Schutz jedoch über diesen Basisschutz hinaus verbessern, indem Sie den Schutz vor Replay-Angriffen erzwingen, bei dem stattdessen Tokens mit eingeschränkter Nutzung verwendet werden. Wenn der Replay-Schutz erzwungen wird, geschieht Folgendes:

• Mit App Check werden Anfragen an Firebase AI Logic blockiert, die Sitzungstokens verwenden. Stattdessen wird mit App Check eine Anfrage an Firebase AI Logic nur zugelassen, wenn sie ein neu erstelltes Token mit eingeschränkter Nutzung verwendet.

• Nachdem das Token mit eingeschränkter Nutzung verifiziert wurde, wird es verwendet, sodass es nur einmal verwendet werden kann. Dadurch werden Replay-Angriffe verhindert.

• Das App Check SDK generiert für jede Anfrage ein neues Token mit eingeschränkter Nutzung. Dieser Prozess kann sich auf Ihre Anfragen auswirken, da er zu einer gewissen Latenz und manchmal zu Kosten führt (je nach Attestierungsanbieter).

Wiedergabeschutz einrichten und erzwingen

So richten Sie den Replay-Schutz ein und erzwingen ihn:

1. Falls noch nicht geschehen, richten Sie App Check ein. Folgen Sie dazu der Anleitung weiter oben auf dieser Seite.

2. Verwendung von Tokens mit eingeschränkter Nutzung aktivieren

   Legen Sie in Ihrer App bei der Instanziierung den Parameter useLimitedUseAppCheckTokens auf true fest:

   Swift

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   let ai = FirebaseAI.firebaseAI(
     backend: .googleAI(),
     useLimitedUseAppCheckTokens: true
   )
   
   // ...
   
   

   Kotlin

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   val ai = Firebase.ai(
     backend = GenerativeBackend.googleAI(),
     useLimitedUseAppCheckTokens = true
   )
   
   // ...
   
   

   Java

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   FirebaseAI ai = FirebaseAI.getInstance(
     /* backend: */ GenerativeBackend.googleAI(),
     /* useLimitedUseAppCheckTokens: */ true
   );
   
   // ...
   
   

   Web

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens.
   const ai = getAI(firebaseApp, {
     backend: new GoogleAIBackend(),
     useLimitedUseAppCheckTokens: true
   });
   
   // ...
   
   

   Dart

   
   // ...
   
   // During instantiation, enable usage of limited-use tokens
   final ai = await FirebaseAI.googleAI(
     useLimitedUseAppCheckTokens: true,
   );
   
   // ...
   
   

   Einheit

   // ...
   
   // During instantiation, enable usage of limited-use tokens
   var ai = FirebaseAI.GetInstance(
     useLimitedUseAppCheckTokens: true
   );
   
   // ...
   

3. Schutz vor Wiederholungsangriffen erzwingen:

   1. Achten Sie darauf, dass die Verwendung von Tokens mit eingeschränkter Nutzung (siehe vorheriger Schritt) in der Codebasis Ihrer App aktiviert ist.

   2. Rufen Sie in der Firebase-Konsole Sicherheit > App Check auf.

   3. Maximieren Sie die Messwertansicht für Firebase AI Logic.

   4. Achten Sie darauf, dass Basisschutz erzwingt und klicken Sie dann auf Weiter.

   5. Wählen Sie für den Replay-Schutz entweder Nicht erzwungen (nur Monitoring) oder Erzwungen aus.

      Berücksichtigen Sie Folgendes, um zu entscheiden, wann der Replay-Schutz erzwungen werden soll:

      • Es wird empfohlen, Ihre Anfragen zu überwachen, wenn eine beträchtliche Anzahl Ihrer Nutzer wahrscheinlich ältere Versionen Ihrer App ohne aktivierte Nutzung von Tokens mit eingeschränkter Verwendung verwendet. Wenn Sie den Replay-Schutz sofort erzwingen, werden Anfragen dieser Nutzer blockiert.

      • Sie können insbesondere den Messwert Nicht bestätigt: Wiederverwendetes Token im Blick behalten. Er gibt die Anzahl der Anfragen mit einem Token an, das bereits in einer vorherigen Anfrage verwendet wurde. Behalten Sie diesen Messwert in der Firebase-Konsole im Blick (gehen Sie zum Tab APIs unter Sicherheit > App Check).

        Wenn ein erheblicher Teil der letzten Anfragen in diese Kategorie fällt, können Sie Unterbrechungen für Nutzer vermeiden und mit der Erzwingung des Replay-Schutzes warten, bis mehr Nutzer auf eine Version Ihrer App aktualisiert haben, die Tokens mit eingeschränkter Nutzung verwendet.

Informationen zur Integration von Firebase AI Logic in App Check

Wenn Sie die Firebase AI Logic-SDKs verwenden möchten, muss die Firebase AI Logic-API (firebasevertexai.googleapis.com) in Ihrem Firebase-Projekt aktiviert sein. Das liegt daran, dass Anfragen, die von den Firebase AI Logic SDKs gestellt werden, zuerst an den Firebase AI Logic-Server gesendet werden, der als Proxy-Gateway fungiert, über das die Firebase App Check-Überprüfung bevor die Anfrage an das Backend des von Ihnen ausgewählten Gemini API-Anbieters und die APIs für den Zugriff auf die Gemini- und Imagen-Modelle weitergeleitet wird.

FAQ und Fehlerbehebung

Weitere FAQs und Informationen zur Fehlerbehebung oder Fehlercodes zu Firebase AI Logic