Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Premiers pas avec App Check avec reCAPTCHA Enterprise dans les applications Web

Sélectionnez une plate-forme :

iOS+ Android Web Flutter

Cette page vous explique comment configurer App Check dans une application Web à l'aide du fournisseur reCAPTCHA Enterprise. App Check permet de s'assurer que seule votre application peut accéder aux ressources de backend de votre projet. Pour en savoir plus, consultez notre présentation de App Check.

App Check nécessite l'utilisation de clés basées sur le score reCAPTCHA, ce qui le rend invisible pour les utilisateurs. Cela signifie que le fournisseur reCAPTCHA Enterprise n'exigera jamais des utilisateurs qu'ils résolvent un challenge.

Si votre cas d'utilisation nécessite des fonctionnalités reCAPTCHA Enterprise non implémentées par App Check ou si vous souhaitez utiliser App Check avec votre propre fournisseur personnalisé, consultez Implémenter un fournisseur App Check personnalisé.

1. Configurer votre projet Firebase

Si ce n'est pas déjà fait, ajoutez Firebase à votre projet JavaScript.
Dans la consoleGoogle Cloud, accédez à la page Fraud Defense, puis procédez comme suit pour le provider reCAPTCHA Enterprise :
1. Assurez-vous d'être dans le bon projet (voir le sélecteur de projets en haut de l'écran).
2. Si vous y êtes invité, activez l'API reCAPTCHA Enterprise.
3. Créez une clé de type Web et spécifiez chacun des domaines de vos applications Web.
  - App Check n'est pas compatible avec les applications Web diffusées sur plus de 250 domaines.
  - N'ajoutez jamais localhost en tant que domaine à une clé reCAPTCHA déployée (ou qui va être déployée) en production.
  - Ne cochez pas l'option "Utiliser le défi de la case à cocher".
  Pour obtenir des instructions détaillées, consultez Créer des clés reCAPTCHA basées sur le score.
4. Notez cette clé. Vous devrez l'ajouter au flux d'enregistrement dans la console Firebase.
Dans la consoleFirebase, accédez à Sécurité > App Check.
Dans l'onglet Applications, enregistrez vos applications Web pour utiliser App Check avec le fournisseur reCAPTCHA Enterprise. Vous devrez fournir la clé que vous avez obtenue dans la console Google Cloud.

Important : Veillez à enregistrer toutes les applications de votre projet auprès d'un fournisseur d'attestation (comme reCAPTCHA Enterprise). Une fois que vous avez activé l'application des règles pour un service, seules les applications enregistrées pourront y accéder.
Facultatif : Définissez la valeur TTL (Time to Live) du jeton.

Dans les paramètres d'enregistrement de l'application, définissez une valeur TTL (Time To Live) personnalisée pour les jetons App Check émis par le fournisseur. Vous pouvez définir la valeur TTL sur n'importe quelle valeur comprise entre 30 minutes et 7 jours. Lorsque vous modifiez cette valeur, tenez compte des compromis suivants :
- Sécurité : des valeurs TTL plus courtes offrent une sécurité renforcée, car elles réduisent la période pendant laquelle un jeton divulgué ou intercepté peut être utilisé à des fins malveillantes par un pirate informatique.
- Performances : des valeurs TTL plus courtes signifient que votre application effectuera l'attestation plus fréquemment. Étant donné que le processus d'attestation de l'application ajoute de la latence aux requêtes réseau chaque fois qu'il est effectué, un TTL court peut avoir un impact sur les performances de votre application.
- Quota et coût : des TTL plus courts et une re-certification fréquente épuisent votre quota plus rapidement et peuvent entraîner des coûts plus élevés pour les services payants. Consultez la page Quotas et limites.
La valeur TTL par défaut de 1 heure est raisonnable pour la plupart des applications. Notez que la bibliothèque App Check actualise les jetons à environ la moitié de la durée de vie (TTL).
Facultatif : Configurez les paramètres avancés.
Cliquez sur Enregistrer.

(Facultatif) Configurer les paramètres avancés

Lorsqu'un utilisateur ouvre votre application, reCAPTCHA Enterprise évalue le niveau de risque de l'interaction de l'utilisateur sous les poses clés et renvoie un score compris entre 0,0 et 1,0, par incréments de 0,1.

Un score de 0,0 indique que l'interaction présente un risque élevé et peut être frauduleuse.
Un score de 1,0 indique que l'interaction présente un risque faible et est très certainement légitime.

App Check vous permet de configurer un seuil de risque d'application afin d'ajuster votre tolérance à ce risque.

Dans la plupart des cas d'utilisation, la valeur de seuil par défaut de 0,5 est recommandée. Si votre cas d'utilisation nécessite un ajustement, vous pouvez configurer cette valeur pour chacune de vos applications dans la console Firebase (accédez à Sécurité > App Check). Veillez à développer et à examiner quelques points importants à prendre en compte concernant la configuration du seuil de risque des applications ci-dessous.

Consulter les remarques importantes concernant le seuil de risque de l'application

App Check utilise le seuil de risque d'application que vous avez configuré comme score reCAPTCHA Enterprise minimal requis pour qu'une interaction de l'utilisateur soit considérée comme légitime. Tous les scores reCAPTCHA Enterprise strictement inférieurs au seuil que vous avez configuré seront refusés. Lorsque vous ajustez le seuil de risque de votre application, tenez compte des points suivants :

Si votre projet Firebase bénéficie du forfait Spark sans frais, seuls les quatre scores suivants sont disponibles sur les 11 niveaux de score reCAPTCHA Enterprise possibles : 0,1, 0,3, 0,7 et 0,9.

Pendant cette période, App Check n'autorisera que les seuils de risque d'application de 0,1, 0,3, 0,5, 0,7 et 0,9. Une valeur de seuil de risque d'application de 0,5 est toujours recommandée pour la plupart des cas d'utilisation.
- Pour activer les 11 niveaux de score reCAPTCHA Enterprise, associez un compte Cloud Billing à votre projet (ce qui signifie que vous passez votre projet Firebase au forfait Blaze avec paiement à l'usage). Une fois votre projet mis à niveau, App Check vous permet de configurer n'importe quelle valeur de seuil de risque d'application entre 0,0 et 1,0, par incréments de 0,1.
  
  Remarque : Une fois un compte Cloud Billing associé à votre projet, un examen de sécurité automatique est déclenché pour votre projet. Pour en savoir plus, consultez la documentation sur reCAPTCHA Enterprise.
Pour surveiller la distribution des scores reCAPTCHA Enterprise élevés et faibles pour votre application, accédez à la page reCAPTCHA Enterprise de la console Google Cloud, puis sélectionnez la clé utilisée par votre application.
Définissez le seuil de risque de votre application en fonction de votre tolérance :
- Si vous avez une tolérance au risque élevée pour les applications, déplacez le curseur vers la droite pour diminuer le seuil de risque des applications.
  - Il est déconseillé de définir la valeur sur 0.0, car ce paramètre désactive la protection contre les utilisations abusives.
- Si votre tolérance au risque d'application est faible, déplacez le curseur vers la gauche pour augmenter le seuil de risque d'application.
  - La valeur 1.0 n'est pas recommandée, car ce paramètre peut également bloquer l'accès à des utilisateurs légitimes qui ne répondent pas à ce seuil de confiance élevé.
  Avertissement : Pour éviter de perturber vos utilisateurs légitimes, augmentez progressivement le seuil de risque de l'application lorsque App Check est appliqué. Surveillez toujours les métriques des requêtes App Check pour vérifier que le trafic n'a pas été interrompu.

Pour en savoir plus, consultez la documentation reCAPTCHA Enterprise.

2. Ajouter la bibliothèque App Check à votre application

Si ce n'est pas déjà fait, installez le SDK Firebase JavaScript et initialisez Firebase dans votre application.

3. Initialiser App Check

Ajoutez le code d'initialisation App Check suivant au début de votre application afin qu'il s'exécute avant que vous n'accédiez à des services Firebase dans votre application.

Veillez à transmettre la même clé reCAPTCHA que celle que vous avez utilisée pour enregistrer votre application auprès de reCAPTCHA Enterprise dans la console Firebase (voir la première section du guide).

Web

import { initializeApp } from "firebase/app";
import { initializeAppCheck, ReCaptchaEnterpriseProvider } from "firebase/app-check";

const app = initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance
// using your reCAPTCHA Enterprise key and pass it to `initializeAppCheck()`.
const appCheck = initializeAppCheck(app, {
  provider: new ReCaptchaEnterpriseProvider(RECAPTCHA_KEY),
  isTokenAutoRefreshEnabled: true // Set to true to allow auto-refresh.
});

Web

firebase.initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance
// using your reCAPTCHA Enterprise key and pass it to `activate()`.
const appCheck = firebase.appCheck();
appCheck.activate(
  new firebase.appCheck.ReCaptchaEnterpriseProvider(
    RECAPTCHA_KEY
  ),
  true // Set to true to allow auto-refresh.
);

4. Surveiller les métriques et activer l'application

Une fois que vous avez configuré App Check dans votre application, commencez à distribuer la version mise à jour à vos utilisateurs.

L'application cliente mise à jour commencera à envoyer des jetons App Check avec chaque requête qu'elle envoie à Firebase. Toutefois, App Check ne bloquera pas les requêtes avec des jetons non valides tant que App Check ne sera pas appliqué.

Surveiller les métriques

Avant d'activer la mesure d'application, assurez-vous que cela ne perturbera pas vos utilisateurs légitimes existants. Toutefois, si vous constatez une utilisation suspecte des ressources de votre application, vous pouvez activer l'application plus tôt.

Pour vous aider à prendre cette décision, vous pouvez consulter les métriques App Check pour les services que vous utilisez :

Surveillez les métriques des requêtes App Check pour Firebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity pour iOS, l'API Maps JavaScript et l'API Places (nouveau).
Surveillez les métriques des requêtes App Check pour Cloud Functions.

Activer l'application des règles App Check

Une fois que vous avez compris l'impact de App Check sur vos utilisateurs et que vous êtes prêt à continuer, vous pouvez activer l'application de App Check :

Activez l'application de App Check pour Firebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity pour iOS, l'API Maps JavaScript et l'API Places (nouveau).
Activez l'application de App Check pour Cloud Functions.

Utiliser App Check dans les environnements de débogage

App Check classe certains environnements comme non valides, par exemple les requêtes provenant de localhost pendant le développement ou d'un environnement d'intégration continue (CI).

Pour exécuter votre application dans ces types d'environnements après l'application de App Check, vous devez créer une version de débogage de votre application qui utilise le fournisseur de débogage App Check au lieu d'un fournisseur d'attestation de production.

Pour en savoir plus, consultez Utiliser App Check avec le fournisseur de débogage dans les applications Web.

Tarifs

App Check crée une évaluation en votre nom pour valider le jeton de réponse de l'utilisateur chaque fois que votre application actualise son jeton App Check. Votre projet Firebase sera facturé pour chaque évaluation créée au-delà du quota sans frais. Pour en savoir plus, consultez les tarifs de reCAPTCHA.

Par défaut, votre application actualise ce jeton deux fois toutes les heures. Pour contrôler la fréquence à laquelle votre application actualise les jetons App Check (et donc la fréquence à laquelle de nouvelles évaluations sont créées), vous pouvez configurer le TTL des jetons.