Firebase AI Logic का इस्तेमाल करने के लिए, सुरक्षा से जुड़ी चेकलिस्ट

जब Gemini API को सीधे तौर पर मोबाइल और वेब ऐप्लिकेशन से कॉल किया जाता है, तब बैकएंड इन्फ़्रास्ट्रक्चर, कोटा, और मालिकाना हक वाले प्रॉम्प्ट को सुरक्षित रखने के लिए, एक से ज़्यादा लेयर वाली सुरक्षा की ज़रूरत होती है. Firebase AI Logic के लिए, सुरक्षा के सबसे सही तरीकों को लागू करने के लिए, इस चेकलिस्ट को देखें.

ऐप्लिकेशन, डिवाइस, और उपयोगकर्ता की पुष्टि करना

पुष्टि करें कि आने वाले अनुरोध, भरोसेमंद डिवाइसों पर चल रहे आपके ऐप्लिकेशन के ऐसे इंस्टेंस से किए गए हों जिनमें कोई छेड़छाड़ न की गई हो. साथ ही, यह भी पुष्टि करें कि अनुरोध करने वाले लोग भरोसेमंद हों.

लागू करें Firebase App Check

Firebase App Check को लागू करें. इससे Gemini API को गलत इस्तेमाल से बचाने में मदद मिलती है. ऐसा तब होता है, जब इसे सीधे तौर पर आपके ऐप्लिकेशन से कॉल किया जाता है. App Check को लागू करने पर, यह पुष्टि की जाती है कि आने वाले अनुरोध, आपके असली ऐप्लिकेशन और/या ऐसे डिवाइस से किए गए हैं जिससे कोई छेड़छाड़ नहीं की गई है.

App Check, Apple प्लैटफ़ॉर्म (DeviceCheck, App Attest या reCAPTCHA Enterprise), Android (Play Integrity या reCAPTCHA Enterprise), और वेब (reCAPTCHA Enterprise) के लिए पुष्टि करने वाली कंपनियों के साथ काम करता है. यह Flutter और Unity ऐप्लिकेशन के लिए भी इन सभी कंपनियों के साथ काम करता है.

जुलाई 2026 की शुरुआत से, Firebase Firebase कंसोल में गाइड किए गए सेटअप के दौरान, App Check को Firebase AI Logic के लिए अपने-आप लागू कर देगा. अगर आपने Firebase AI Logic को पहले ही सेट अप कर लिया है, तो पक्का करें कि आपने App Check को साफ़ तौर पर लागू किया हो. लोकल डेवलपमेंट के लिए, App Check डीबग प्रोवाइडर सेट अप किया जा सकता है. इसके बाद, ऐप्लिकेशन को असली उपयोगकर्ताओं के लिए रिलीज़ करने से पहले, उसे प्रोडक्शन अटेस्टेशन प्रोवाइडर के साथ रजिस्टर करें.

लिमिटेड-यूज़ टोकन के साथ रीप्ले सुरक्षा की सुविधा चालू करना

App Check सेट अप करने के दौरान, रिप्ले से सुरक्षा लागू करने पर विचार करें, ताकि App Check टोकन सिर्फ़ एक बार इस्तेमाल किए जा सकें. इस विकल्प से, बुनियादी सुरक्षा के अलावा बेहतर सुरक्षा मिलती है. साथ ही, इससे अपने ऐप्लिकेशन और इस्तेमाल के उदाहरणों के लिए सुरक्षा का सही लेवल सेट किया जा सकता है.

अपनी Firebase API कुंजियों के लिए पाबंदियां सेट अप करना

Firebase API कुंजियां, अनुरोध करते समय आपके Firebase प्रोजेक्ट और ऐप्लिकेशन की पहचान करती हैं. अपनी एपीआई कुंजियों के अनधिकृत इस्तेमाल को रोकने के लिए:

ध्यान दें कि Firebase से जुड़े एपीआई, एपीआई कुंजियों का इस्तेमाल सिर्फ़ Firebase प्रोजेक्ट या ऐप्लिकेशन की पहचान करने के लिए करते हैं. इनका इस्तेमाल, एपीआई को कॉल करने के लिए अनुमति देने के लिए नहीं किया जाता.

अनुरोधों को सिर्फ़ पुष्टि किए गए उपयोगकर्ताओं तक सीमित करें

पुष्टि किए गए उपयोगकर्ताओं के लिए उपलब्ध मोड को लागू करने पर विचार करें, ताकि Firebase AI Logic के ज़रिए किए गए सभी अनुरोधों में Firebase Authentication से मिले मान्य क्रेडेंशियल शामिल हों. अगर अनुरोध किसी ऐसे व्यक्ति से आता है जिसकी पुष्टि नहीं हुई है, तो अनुरोध को 401: unauthenticated गड़बड़ी के साथ अस्वीकार कर दिया जाता है.

प्रॉम्प्ट की सुरक्षा और अनुरोध को मज़बूत करना

क्लाइंट को डीकंपाइल करने से रोकें, ताकि आपके प्रॉम्प्ट डिज़ाइन का पता न चल पाए. साथ ही, अपने बैकएंड को लॉक करें, ताकि नुकसान पहुंचाने वाले उपयोगकर्ता मनमाने प्रॉम्प्ट न चला पाएं.

सर्वर प्रॉम्प्ट टेंप्लेट का इस्तेमाल करना

सर्वर प्रॉम्प्ट टेंप्लेट का इस्तेमाल करें, ताकि प्रॉम्प्ट, सिस्टम के निर्देश, और मॉडल कॉन्फ़िगरेशन को क्लाउड में सुरक्षित रखा जा सके. इन्हें क्लाइंट ऐप्लिकेशन कोड में हार्ड कोड न करें, क्योंकि बाइनरी डीकंपाइलेशन का इस्तेमाल करके इन्हें निकाला जा सकता है.

आपका ऐप्लिकेशन सिर्फ़ टेंप्लेट आईडी का रेफ़रंस देता है और डाइनैमिक इनपुट वैरिएबल पास करता है. सर्वर प्रॉम्प्ट टेंप्लेट की मदद से, अपने ऐप्लिकेशन का नया वर्शन जारी किए बिना, प्रॉम्प्ट अपडेट किए जा सकते हैं या मॉडल बदले जा सकते हैं.

क्लाइंट से मिले टेंप्लेट वैरिएबल की पुष्टि करना और उन्हें सुरक्षित बनाना

सर्वर प्रॉम्प्ट टेंप्लेट, आपके प्रॉम्प्ट डिज़ाइन को सुरक्षित रखते हैं. हालांकि, डाइनैमिक वैरिएबल स्वीकार करने वाले टेंप्लेट अब भी प्रॉम्प्ट इंजेक्शन के शिकार हो सकते हैं. टेंप्लेट, उपयोगकर्ता के इनपुट वैरिएबल को फ़ाइनल प्रॉम्प्ट में जोड़ते हैं. इसलिए, पक्का करें कि आपने ये काम किए हों:

  • क्लाइंट पर उपयोगकर्ता के सभी इनपुट की पुष्टि करें और उन्हें सुरक्षित करें. इसके बाद ही, वैरिएबल को किसी टेंप्लेट में पास करें. जैसे, वर्णों की सीमाएं और ज़रूरी फ़ॉर्मैट लागू करना.
  • अपने टेंप्लेट में सिस्टम के लिए साफ़ तौर पर निर्देश शामिल करें. इनमें यह बताया गया हो कि उपयोगकर्ता के इनपुट को कैसे प्रोसेस किया जाता है.

सिर्फ़ टेंप्लेट वाला मोड लागू करना

जब आपके ऐप्लिकेशन की सभी सुविधाएं, सर्वर प्रॉम्प्ट टेंप्लेट का इस्तेमाल करने लगें, तब सिर्फ़ टेंप्लेट मोड लागू करें. इस सुविधा के लागू होने पर, Firebase AI Logic, Gemini API (403: unauthorized) को किए गए सभी डायरेक्ट और बिना टेंप्लेट वाले अनुरोधों को ब्लॉक कर देता है. इससे नुकसान पहुंचाने वाले लोगों या इकाइयों को मनमाने प्रॉम्प्ट भेजने या आपके कोटे का गलत इस्तेमाल करने से रोका जा सकता है.

मॉनिटरिंग, सीमाएं, और बिलिंग

आने वाले ट्रैफ़िक और सुरक्षा से जुड़ी गड़बड़ियों की जानकारी पाएं. साथ ही, अपने प्रोजेक्ट को इस्तेमाल में अचानक होने वाली बढ़ोतरी या अनचाहे शुल्क से सुरक्षित रखें.

Firebase कंसोल में एआई की परफ़ॉर्मेंस को मॉनिटर करने की सुविधा सेट अप करना

Firebase कंसोल में एआई मॉनिटरिंग सेट अप करें. इससे आपको अनुरोधों की संख्या, लेटेन्सी, टोकन के इस्तेमाल, और गड़बड़ी की दरों जैसी अहम मेट्रिक के बारे में जानकारी मिलेगी. इनमें 401 पुष्टि न हो पाने की गड़बड़ियां और 403 सिर्फ़ टेंप्लेट वाले ब्लॉक शामिल हैं. Google Cloud कंसोल में जाकर, अलग-अलग ट्रेस की जांच भी की जा सकती है.

दर की सीमाएं सेट करना और कोटा मैनेज करना

अपने प्रोजेक्ट को इस्तेमाल में अचानक होने वाली बढ़ोतरी और वॉलेट से पेमेंट करने की सुविधा को बंद करने वाले हमलों से बचाएं:

सूचनाओं और खर्च की सीमा तय करने की सुविधा की मदद से, अचानक आने वाले बिलों से बचें

अगर आपका Firebase प्रोजेक्ट, इस्तेमाल के हिसाब से पैसे चुकाने वाले ब्लेज़ प्लान पर है, तो:

अगले चरण