Włącz wymuszanie Sprawdzania aplikacji

Gdy zrozumiesz, jak App Check wpłynie na Twoich użytkowników i będziesz gotowy(-a) na dalsze działania, możesz włączyć egzekwowanie App Check.

Poniższe kroki opisują, jak włączyć egzekwowanie w przypadku usługFirebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity na iOS, Maps JavaScript API i Places API (nowy). Po włączeniu wymuszania w przypadku usługi wszystkie niezweryfikowane żądania dotyczące tej usługi będą odrzucane.

1. W konsoli Firebase otwórz Zabezpieczenia > Sprawdzanie aplikacji.

2. Rozwiń widok danych produktu, w przypadku którego chcesz włączyć egzekwowanie.

3. Kliknij Wymuś i potwierdź wybór.

Pamiętaj, że po włączeniu egzekwowania może minąć do 15 minut, zanim zacznie ono obowiązywać.

Ochrona przed powtórkami (beta)

Domyślnie App Check używa tokenów sesji, które mają konfigurowalny czas życia (TTL) w zakresie od 30 minut do 7 dni. Te tokeny sesji są buforowane przez pakiet SDK App Check, wysyłane wraz z żądaniami z aplikacji i mogą być ponownie używane do momentu wygaśnięcia ich czasu życia. Używanie tokenów sesji jest uważane za podstawową ochronę.

Aby zwiększyć ochronę poza podstawową ochronę oferowaną przez App Check, możesz opcjonalnie włączyć ochronę przed powtórzeniem. Gdy włączysz ochronę przed powtórzeniem:

• App Check będzie blokować żądania do chronionego interfejsu API, które używają tokenów sesji. Zamiast tego App Check zezwoli tylko na żądanie wysłane do chronionego interfejsu API, które korzysta z nowo wygenerowanego tokena o ograniczonym zastosowaniu. Informacje o tym, jak włączyć w aplikacji używanie tokenów o ograniczonym zastosowaniu, znajdziesz w dokumentacji konkretnego produktu.

• Po zweryfikowaniu tokenu jednorazowego jest on wykorzystywany, aby można go było użyć tylko raz, co zapobiega atakom typu replay.

• Pakiet SDK App Check będzie generować nowy token dla każdego żądania. Ten proces może wpłynąć na Twoje żądania, powodując opóźnienia i czasami generując koszty (w zależności od dostawcy atestów).

Aby włączyć ochronę przed powtórzeniem:

1. W bazie kodu aplikacji włącz korzystanie z tokenów o ograniczonym użyciu. Instrukcje znajdziesz w dokumentacji poszczególnych produktów:

   • Firebase AI Logic

2. W konsoli Firebase otwórz Zabezpieczenia > Sprawdzanie aplikacji.

3. Rozwiń widok danych chronionego interfejsu API.

4. Sprawdź, czy podstawowa ochrona jest wymagana, a następnie kliknij Dalej.

5. W przypadku ochrony przed powtórzeniem wybierz Niewymagana (tylko monitorowanie) lub Wymagana.

   Aby zdecydować, kiedy wymusić ochronę przed powtórzeniem, weź pod uwagę te kwestie:

   • Monitorowanie żądań jest zalecane, jeśli znaczna liczba użytkowników korzysta ze starszych wersji aplikacji bez włączonych tokenów o ograniczonym użyciu. Jeśli natychmiast włączysz ochronę przed atakami typu replay, żądania od tych użytkowników zostaną zablokowane.

   • Na karcie Interfejsy API w sekcji Zabezpieczenia > Sprawdzanie aplikacji w konsoli Firebase możesz monitorować wskaźnik Niezweryfikowane: ponownie użyty token, czyli liczbę żądań, które zawierają token użyty już w poprzednim żądaniu. Jeśli znaczna część ostatnich żądań należy do tej kategorii, nie przerywaj pracy użytkowników i poczekaj, aż więcej osób zaktualizuje Twoją aplikację, zanim włączysz egzekwowanie.