Начните использовать проверку приложений с помощью reCAPTCHA Enterprise в приложениях Flutter.

Выберите платформу: iOS+ Android Web Flutter


На этой странице показано, как настроить App Check в приложении Flutter с помощью поставщика reCAPTCHA Enterprise . App Check помогает гарантировать, что доступ к ресурсам бэкэнда вашего проекта будет только у вашего приложения. Чтобы узнать больше, ознакомьтесь с нашим обзором App Check .

Для App Check требуется использование ключей reCAPTCHA на основе оценок , что делает его невидимым для пользователей. Это означает, что поставщик reCAPTCHA Enterprise не потребует от пользователей решения контрольной задачи.

Если для вашего сценария использования требуются функции reCAPTCHA Enterprise , не реализованные в App Check , или если вы хотите использовать App Check с собственным пользовательским поставщиком, см. раздел «Реализация пользовательского поставщика App Check .

1. Настройте свой проект Firebase.

  1. Если вы еще этого не сделали, установите и инициализируйте Firebase в своем проекте Flutter .

  2. В консоли Google Cloud перейдите на страницу «Защита от мошенничества» и выполните следующие действия для поставщика reCAPTCHA Enterprise :

    1. Убедитесь, что вы находитесь в правильном проекте (см. окно выбора проекта в верхней части экрана).

    2. При появлении запроса включите API reCAPTCHA Enterprise .

    3. Создайте ключ на основе вашей целевой платформы:

      iOS+

      Создайте ключ типа iOS и укажите идентификатор пакета вашего приложения (например, com.example.my_app ).

      • Убедитесь, что вы ввели тот же идентификатор пакета (bundle ID), который указывали при создании приложения Firebase для Apple, в свой проект Firebase. Значение идентификатора пакета чувствительно к регистру.

      • В App Check каждому идентификатору пакета может соответствовать только один ключ reCAPTCHA .

      Android

      Создайте ключ типа Android и укажите имя пакета вашего приложения (например, com.example.my_app ).

      • Убедитесь, что вы указали то же имя пакета, что и при создании приложения Firebase для Android в вашем проекте Firebase. Имя пакета чувствительно к регистру.

      • В App Check каждому имени пакета может соответствовать только один ключ reCAPTCHA .

      Веб

      Создайте ключ типа Web и укажите каждый из доменов для ваших веб-приложений.

      • App Check не поддерживает веб-приложения, размещенные более чем на 250 доменах.

      • Никогда не добавляйте localhost в качестве домена к ключу reCAPTCHA , который развернут (или будет развернут) в производственной среде.

      • Оставьте параметр "Использовать проверку флажком" невыбранным .

      Подробные инструкции см. в разделе «Создание ключей reCAPTCHA на основе оценок» .

    4. Запишите каждый ключ. Вам потребуется добавить их в процесс регистрации в консоли Firebase .

  3. В консоли Firebase перейдите в раздел Безопасность > Проверка приложений .

  4. На вкладке «Приложения» зарегистрируйте каждое из приложений целевой платформы для использования App Check с поставщиком reCAPTCHA Enterprise . Вам потребуется указать ключ, полученный в консоли Google Cloud .

  5. Необязательно : установите время жизни токена (TTL).

    В настройках регистрации приложения установите пользовательское время жизни (TTL) для токенов App Check выданных провайдером. Вы можете установить TTL на любое значение от 30 минут до 7 дней. При изменении этого значения следует учитывать следующие компромиссы:

    • Безопасность: Более короткие значения TTL обеспечивают более высокую безопасность, поскольку сокращают период времени, в течение которого утечка или перехват токена могут быть использованы злоумышленником в корыстных целях.
    • Производительность: Более короткие значения TTL означают, что ваше приложение будет выполнять аттестацию чаще. Поскольку процесс аттестации приложения каждый раз добавляет задержку к сетевым запросам, короткий TTL может повлиять на производительность вашего приложения.
    • Квота и стоимость: Более короткие сроки действия TTL и частая повторная аттестация быстрее истощают вашу квоту, а для платных услуг могут стоить дороже. См. раздел «Квоты и лимиты» .

    Значение TTL по умолчанию, равное 1 часу, является разумным для большинства приложений. Обратите внимание, что библиотека App Check обновляет токены примерно через половину времени TTL.

  6. Необязательно : Настройте дополнительные параметры.

  7. Нажмите « Сохранить ».

(Необязательно) Настройка дополнительных параметров

Когда пользователь открывает ваше приложение, reCAPTCHA Enterprise оценивает уровень риска взаимодействия пользователя с ключевыми словами и возвращает оценку от 0,0 до 1,0 с шагом 0,1.

  • Оценка 0,0 указывает на то, что взаимодействие сопряжено с высоким риском и может быть мошенническим.
  • Оценка 1,0 указывает на то, что взаимодействие представляет низкий риск и, скорее всего, является законным.

App Check позволяет настроить пороговое значение риска для приложения , чтобы вы могли скорректировать свой уровень допустимого риска.

Для большинства сценариев использования рекомендуется использовать значение порога риска по умолчанию, равное 0,5 . Если ваш сценарий требует корректировки, вы можете настроить это значение для каждого из ваших приложений в консоли Firebase (перейдите в раздел Безопасность > Проверка приложений ). Обязательно ознакомьтесь с важными моментами, касающимися настройки порога риска для приложений, приведенными ниже.

2. Добавьте плагин App Check в ваше приложение.

Для использования поставщика reCAPTCHA Enterprise необходимо добавить соответствующий плагин App Check .

  1. Для установки плагина выполните следующую команду из корневой папки вашего Flutter-проекта:

    flutter pub add firebase_app_check

  2. После завершения пересоберите свой проект Flutter:

    flutter run

3. Инициализация App Check

В вашем приложении необходимо инициализировать App Check перед использованием любых других сервисов Firebase.

import 'package:firebase_core/firebase_core.dart';
import 'package:firebase_app_check/firebase_app_check.dart';
import 'firebase_options.dart';

Future<void> main() async {
  WidgetsFlutterBinding.ensureInitialized();
  await Firebase.initializeApp(options: DefaultFirebaseOptions.currentPlatform);
  await FirebaseAppCheck.instance.activate(
    providerWeb: ReCaptchaEnterpriseProvider(WEB_SITE_KEY),
    providerAndroid: const AndroidReCaptchaProvider(ANDROID_SITE_KEY),
    providerApple: const AppleReCaptchaProvider(IOS_SITE_KEY),
  );
  runApp(App());
}

4. Отслеживать показатели и обеспечивать их соблюдение.

После настройки App Check в вашем приложении начните распространение обновленного приложения среди пользователей.

Обновленное клиентское приложение начнет отправлять токены App Check вместе с каждым запросом в Firebase. Однако App Check не будет блокировать запросы с недействительными токенами до тех пор, пока не будет активирована App Check .

Мониторинг метрик

Прежде чем включать функцию принудительного применения , убедитесь, что это не нарушит работу существующих законных пользователей. Однако, если вы наблюдаете подозрительное использование ресурсов вашего приложения, возможно, стоит включить функцию принудительного применения раньше.

Чтобы помочь вам принять это решение, вы можете просмотреть показатели App Check для используемых вами сервисов:

Включить принудительное выполнение App Check

Когда вы поймете, как App Check повлияет на ваших пользователей, и будете готовы продолжить, вы можете включить принудительное применение App Check :

Используйте App Check в средах отладки.

App Check классифицирует некоторые среды как недопустимые, например, запросы от эмулятора/симулятора или локального хоста во время разработки или от среды непрерывной интеграции (CI).

Чтобы запустить ваше приложение в подобных средах после внедрения App Check , вам необходимо создать отладочную сборку приложения, использующую отладочный поставщик App Check вместо производственного поставщика аттестации.

Для получения более подробной информации см. раздел «Использование App Check с помощью отладчика в приложениях Flutter» .

Цены

App Check создает от вашего имени проверку для подтверждения токена ответа пользователя каждый раз, когда ваше приложение обновляет свой токен App Check . За каждую проверку, созданную сверх бесплатного лимита, с вашего проекта Firebase будет взиматься плата. Подробности см. в разделе «Цены reCAPTCHA .

По умолчанию ваше приложение будет обновлять этот токен дважды в час . Чтобы контролировать частоту обновления токенов App Check (и, следовательно, частоту создания новых тестов), вы можете настроить значение TTL токена .