Comienza a usar la Verificación de aplicaciones mediante Play Integrity en Android

En esta página, se muestra cómo habilitar la Verificación de aplicaciones en una app para Android mediante el proveedor integrado de Play Integrity. Cuando habilitas la Verificación de aplicaciones, ayudas a garantizar que solo la app pueda acceder a los recursos de Firebase de tu proyecto. Consulta una descripción general de esta función.

Actualmente, el proveedor integrado de Play Integrity solo admite apps para Android distribuidas por Google Play. Para usar las funciones de Play Integrity fuera de Play o usar la Verificación de aplicaciones con tu propio proveedor personalizado, consulta Implementa un proveedor personalizado de la Verificación de aplicaciones.

1. Configura el proyecto de Firebase

Si aún no lo has hecho, agrega Firebase al proyecto de Android.
Habilita la API de Play Integrity:
1. En Google Play Console, selecciona tu app o agrégala si aún no lo has hecho.
2. En la sección Versión, haz clic en Integridad de la app.
3. Ve a la sección API de Play Integrity de la página, haz clic en Vincular proyecto de Cloud y selecciona tu proyecto de Firebase de la lista de proyectos de Google Cloud. El proyecto que selecciones aquí debe ser el mismo proyecto de Firebase en el que registras la app (consulta el siguiente paso).
Registra tus apps para usar la Verificación de aplicaciones mediante el proveedor de Play Integrity en la sección Verificación de aplicaciones de Firebase console. Deberás proporcionar la huella digital SHA-256 del certificado de firma de la app.

Por lo general, debes registrar todas las apps de tu proyecto, ya que una vez que habilites la aplicación forzosa para un producto de Firebase, solo las apps registradas podrán acceder a los recursos de backend del producto.
Opcional: En los parámetros de configuración del registro de la app, configura un tiempo de actividad (TTL) personalizado para los tokens de la Verificación de aplicaciones que emite el proveedor. Puedes configurar el TTL en cualquier valor entre 30 minutos y 7 días. Cuando cambies este valor, ten en cuenta las siguientes compensaciones:
- Seguridad: Los TTL más cortos proporcionan una mayor seguridad, ya que reducen el período en el que un atacante puede abusar de un token filtrado o interceptado.
- Rendimiento: Si usas TTL más cortos, la app realizará la certificación con mayor frecuencia. Debido a que el proceso de certificación de la app agrega latencia a las solicitudes de red cada vez que se realiza, un TTL corto puede afectar el rendimiento de la app.
- Cuota y costo: Los TTL más cortos y las certificaciones frecuentes agotan tu cuota con mayor rapidez. Además, en el caso de los servicios pagados, es posible que tengan un costo mayor. Consulta Cuotas y límites.
El TTL predeterminado de 1 hora es razonable para la mayoría de las apps. Ten en cuenta que la biblioteca de Verificación de aplicaciones actualiza los tokens aproximadamente en la mitad de la duración del TTL.

2. Agrega la biblioteca de la Verificación de aplicaciones a la app

En el archivo Gradle del módulo (a nivel de app) (generalmente <project>/<app-module>/build.gradle.kts o <project>/<app-module>/build.gradle), agrega la dependencia de la biblioteca de la Verificación de aplicaciones desde la app para Android. Te recomendamos usar la BoM de Firebase para Android para controlar las versiones de la biblioteca.

dependencies {
    // Import the BoM for the Firebase platform
    implementation(platform("com.google.firebase:firebase-bom:32.7.1"))

    // Add the dependencies for the App Check libraries
    // When using the BoM, you don't specify versions in Firebase library dependencies
    implementation("com.google.firebase:firebase-appcheck-playintegrity")
}

Si usas la BoM de Firebase para Android, tu app siempre utilizará versiones compatibles de las bibliotecas de Firebase para Android.

(Alternativa) Agrega dependencias de la biblioteca de Firebase sin usar la BoM

Si eliges no usar la BoM de Firebase, debes especificar cada versión de la biblioteca de Firebase en su línea de dependencia.

Ten en cuenta que, si usas múltiples bibliotecas de Firebase en tu app, es muy recomendable que utilices la BoM para administrar las versiones de las bibliotecas para garantizar que todas las versiones sean compatibles.

dependencies {
    // Add the dependencies for the App Check libraries
    // When NOT using the BoM, you must specify versions in Firebase library dependencies
    implementation("com.google.firebase:firebase-appcheck-playintegrity:17.1.1")
}

¿Buscas un módulo de biblioteca específico de Kotlin? A partir de octubre de 2023 (BoM de Firebase 32.5.0), tanto los desarrolladores de Kotlin como los de Java pueden depender del módulo de la biblioteca principal (para obtener más información, consulta la Preguntas frecuentes sobre esta iniciativa).

3. Inicializa la Verificación de aplicaciones

Agrega el siguiente código de inicialización a la app para que se ejecute antes de usar cualquier otro SDK de Firebase:

Kotlin+KTX

Firebase.initialize(context = this)
Firebase.appCheck.installAppCheckProviderFactory(
    PlayIntegrityAppCheckProviderFactory.getInstance(),
)MainActivity.kt

Java

FirebaseApp.initializeApp(/*context=*/ this);
FirebaseAppCheck firebaseAppCheck = FirebaseAppCheck.getInstance();
firebaseAppCheck.installAppCheckProviderFactory(
        PlayIntegrityAppCheckProviderFactory.getInstance());MainActivity.java

Próximos pasos

Una vez que esté instalada la biblioteca de la Verificación de aplicaciones en la app, comienza a distribuir la app actualizada a tus usuarios.

La app cliente actualizada comenzará a enviar tokens de la Verificación de aplicaciones junto con cada solicitud que realice a Firebase, pero los productos de Firebase no requerirán que los tokens sean válidos hasta que habilites la aplicación forzosa en la sección de la Verificación de aplicaciones de Firebase console.

Supervisa las métricas y habilita la aplicación forzosa

Sin embargo, antes de habilitar la aplicación forzosa, debes asegurarte de que esto no interrumpa a tus usuarios legítimos existentes. Por otro lado, si ves un uso sospechoso de los recursos de tu app, te convendrá habilitar la aplicación más pronto.

Para ayudarte a tomar esta decisión, puedes consultar las métricas de la Verificación de aplicaciones para los servicios que usas:

Supervisa las métricas de solicitudes de la Verificación de aplicaciones para Realtime Database, Cloud Firestore, Cloud Storage y Authentication (beta).
Supervisa las métricas de solicitudes de la Verificación de aplicaciones para Cloud Functions.

Habilita la aplicación forzosa de la Verificación de aplicaciones

Cuando comprendas cómo la Verificación de aplicaciones afectará a los usuarios y cuentes con todo lo necesario para continuar, puedes habilitar la aplicación forzosa de la Verificación de aplicaciones:

Habilita la aplicación forzosa de la Verificación de aplicaciones para Realtime Database, Cloud Firestore, Cloud Storage y Authentication (beta).
Habilita la aplicación forzosa de la Verificación de aplicaciones para Cloud Functions.

Usa la Verificación de aplicaciones en entornos de depuración

Si, después de registrar la app en la Verificación de aplicaciones, quieres ejecutarla en un entorno que la Verificación de aplicaciones no suele clasificar como válido, como un emulador durante el desarrollo o desde un entorno de integración continua (CI), puedes crear una compilación de depuración de la app que use el proveedor de depuración de la Verificación de aplicaciones, en lugar de un proveedor de certificación real.

Consulta Usa la Verificación de aplicaciones mediante el proveedor de depuración en Android.