Firebase AI Logic का इस्तेमाल करने के लिए, सुरक्षा से जुड़ी चेकलिस्ट

जब Gemini API को सीधे तौर पर अपने मोबाइल और वेब ऐप्लिकेशन से कॉल किया जाता है, तो अपने बैकएंड इन्फ़्रास्ट्रक्चर, कोटा, और मालिकाना हक वाले प्रॉम्प्ट को सुरक्षित रखने के लिए, कई लेयर वाली सुरक्षा की ज़रूरत होती है. Firebase AI Logic के लिए, सुरक्षा के सबसे सही तरीकों को लागू करने के लिए, इस चेकलिस्ट को देखें.

ऐप्लिकेशन, डिवाइस, और उपयोगकर्ता की पुष्टि करना

पुष्टि करें कि आने वाले अनुरोध, भरोसेमंद डिवाइसों पर चल रहे आपके ऐप्लिकेशन के ऐसे इंस्टेंस से किए गए हों जिनमें कोई छेड़छाड़ न की गई हो. साथ ही, वे अनुरोध भरोसेमंद उपयोगकर्ताओं ने किए हों.

लागू करें Firebase App Check

Firebase App Check लागू करें. इससे Gemini API को गलत इस्तेमाल से बचाने में मदद मिलती है. ऐसा तब होता है, जब इसे सीधे तौर पर आपके ऐप्लिकेशन से कॉल किया जाता है. App Check लागू होने पर, यह पुष्टि करता है कि आने वाले अनुरोध, आपके असली ऐप्लिकेशन और/या ऐसे डिवाइस से किए गए हैं जिससे कोई छेड़छाड़ नहीं की गई है.

App Check, Apple प्लैटफ़ॉर्म (DeviceCheck, App Attest या reCAPTCHA Enterprise), Android (Play Integrity या reCAPTCHA Enterprise), और वेब (reCAPTCHA Enterprise) के लिए पुष्टि करने की सेवाएं देने वाली कंपनियों के साथ काम करता है. यह Flutter और Unity ऐप्लिकेशन के लिए भी इन सभी कंपनियों के साथ काम करता है.

जुलाई 2026 की शुरुआत से, Firebase Firebase कंसोल में गाइडेड सेटअप के दौरान, App Check के लिए Firebase AI Logic को अपने-आप लागू कर देगा. अगर आपने Firebase AI Logic को पहले ही सेट अप कर लिया है, तो पक्का करें कि आपने App Check को साफ़ तौर पर लागू किया हो. लोकल डेवलपमेंट के लिए, App Check डीबग प्रोवाइडर सेट अप किया जा सकता है. इसके बाद, ऐप्लिकेशन को असली उपयोगकर्ताओं के लिए रिलीज़ करने से पहले, प्रोडक्शन अटेस्टेशन प्रोवाइडर के साथ रजिस्टर करें.

लिमिटेड-यूज़ टोकन के साथ रीप्ले सुरक्षा की सुविधा चालू करना

App Check सेट अप करते समय, रिप्ले सुरक्षा लागू करने पर विचार करें, ताकि App Check टोकन सिर्फ़ एक बार इस्तेमाल किए जा सकें. यह विकल्प, सुरक्षा के बुनियादी स्तर से ज़्यादा सुरक्षा देता है. इससे, अपने ऐप्लिकेशन और इस्तेमाल के उदाहरणों के लिए सुरक्षा का सही लेवल सेट किया जा सकता है.

अपनी Firebase एपीआई कुंजियों के लिए पाबंदियां सेट अप करना

Firebase API कुंजियां, अनुरोध करते समय आपके Firebase प्रोजेक्ट और ऐप्लिकेशन की पहचान करती हैं. अपने एपीआई पासकोड का बिना अनुमति के इस्तेमाल रोकने के लिए:

ध्यान दें कि Firebase से जुड़े एपीआई, एपीआई पासकोड का इस्तेमाल सिर्फ़ Firebase प्रोजेक्ट या ऐप्लिकेशन की पहचान करने के लिए करते हैं. इनका इस्तेमाल, एपीआई को कॉल करने के लिए अनुमति देने के लिए नहीं किया जाता.

सिर्फ़ पुष्टि किए गए उपयोगकर्ताओं के अनुरोधों को अनुमति दें

पुष्टि किए गए उपयोगकर्ताओं के लिए उपलब्ध मोड को लागू करने पर विचार करें, ताकि Firebase AI Logic के ज़रिए किए गए सभी अनुरोधों में Firebase Authentication से मिले मान्य क्रेडेंशियल शामिल हों. अगर अनुरोध ऐसे व्यक्ति से आता है जिसकी पुष्टि नहीं हुई है, तो अनुरोध को 401: unauthenticated गड़बड़ी के साथ अस्वीकार कर दिया जाता है.

को अनुरोध भेजता हो.

प्रॉम्प्ट की सुरक्षा और अनुरोध को मज़बूत करना

क्लाइंट डीकंपाइलेशन को अपने प्रॉम्प्ट डिज़ाइन को ज़ाहिर करने से रोकें. साथ ही, अपने बैकएंड को लॉक करें, ताकि नुकसान पहुंचाने वाले लोग मनमाने प्रॉम्प्ट को एक्ज़ीक्यूट न कर सकें.

सर्वर प्रॉम्प्ट टेंप्लेट का इस्तेमाल करना

सर्वर प्रॉम्प्ट टेंप्लेट का इस्तेमाल करें, ताकि प्रॉम्प्ट, सिस्टम के निर्देश, और मॉडल कॉन्फ़िगरेशन को क्लाउड में सुरक्षित रखा जा सके. इन्हें क्लाइंट ऐप्लिकेशन कोड में हार्ड कोड न करें, क्योंकि बाइनरी डीकंपाइलेशन का इस्तेमाल करके इन्हें निकाला जा सकता है.

आपका ऐप्लिकेशन सिर्फ़ टेंप्लेट आईडी का रेफ़रंस देता है और डाइनैमिक इनपुट वैरिएबल पास करता है. सर्वर प्रॉम्प्ट टेंप्लेट की मदद से, अपने ऐप्लिकेशन का नया वर्शन जारी किए बिना, प्रॉम्प्ट अपडेट किए जा सकते हैं या मॉडल बदले जा सकते हैं.

क्लाइंट से मिले टेंप्लेट वैरिएबल की पुष्टि करना और उन्हें सुरक्षित बनाना

सर्वर प्रॉम्प्ट टेंप्लेट, आपके प्रॉम्प्ट डिज़ाइन को सुरक्षित रखते हैं. हालाँकि, डाइनैमिक वैरिएबल स्वीकार करने वाले टेंप्लेट में अब भी प्रॉम्प्ट इंजेक्शन का खतरा हो सकता है. टेम्पलेट, उपयोगकर्ता के इनपुट वैरिएबल को फ़ाइनल प्रॉम्प्ट में जोड़ते हैं. इसलिए, यह पक्का करें कि आपने ये काम किए हों:

  • क्लाइंट पर उपयोगकर्ता के सभी इनपुट की पुष्टि करें और उन्हें सुरक्षित करें. इसके बाद, वैरिएबल को किसी टेंप्लेट में पास करें. जैसे, वर्ण सीमाएं और अनुमानित फ़ॉर्मैट लागू करना.
  • अपने टेंप्लेट में सिस्टम के लिए साफ़ तौर पर निर्देश शामिल करें. इनमें यह बताया गया हो कि उपयोगकर्ता के इनपुट को कैसे प्रोसेस किया जाता है.

सिर्फ़ टेंप्लेट वाला मोड लागू करना

जब आपके ऐप्लिकेशन की सभी सुविधाएँ, सर्वर प्रॉम्प्ट टेंप्लेट का इस्तेमाल करने लगें, तब सिर्फ़ टेंप्लेट मोड लागू करें. इस सुविधा के लागू होने पर, Firebase AI Logic, Gemini API (403: unauthorized) को भेजे गए सभी डायरेक्ट अनुरोधों को ब्लॉक कर देता है. इससे नुकसान पहुंचाने वाले लोगों या इकाइयों को मनमाने प्रॉम्प्ट भेजने या आपके कोटे का गलत इस्तेमाल करने से रोका जा सकता है.

निगरानी, सीमाएं, और बिलिंग

आने वाले ट्रैफ़िक और सुरक्षा से जुड़ी गड़बड़ियों के बारे में जानकारी पाएं. साथ ही, अपने प्रोजेक्ट को इस्तेमाल में अचानक हुई बढ़ोतरी या अनचाहे शुल्क से सुरक्षित रखें.

Firebase कंसोल में एआई मॉनिटरिंग सेट अप करना

Firebase कंसोल में एआई मॉनिटरिंग सेट अप करें. इससे आपको अनुरोधों की संख्या, लेटेन्सी, टोकन के इस्तेमाल, और गड़बड़ी की दर जैसी अहम मेट्रिक के बारे में जानकारी मिलेगी. इसमें 401 पुष्टि करने में हुई गड़बड़ियां और 403 सिर्फ़ टेंप्लेट वाले ब्लॉक शामिल हैं. Google Cloud कंसोल में, अलग-अलग ट्रेस की जांच भी की जा सकती है.

दर की सीमाएं सेट करना और कोटा मैनेज करना

अपने प्रोजेक्ट को इस्तेमाल में अचानक होने वाली बढ़ोतरी और वॉलेट से पेमेंट करने की सुविधा को बंद करने वाले हमलों से बचाएं:

सूचनाएं और खर्च की सीमाएं सेट करके, अचानक आने वाले बिल से बचें

अगर आपका Firebase प्रोजेक्ट, इस्तेमाल के हिसाब से पैसे चुकाने वाले ब्लेज़ प्लान पर है, तो:

अगले चरण