Начните использовать проверку приложений с помощью reCAPTCHA Enterprise в веб-приложениях.

Выберите платформу: iOS+ Android Web Flutter


На этой странице показано, как настроить App Check в веб-приложении с помощью поставщика reCAPTCHA Enterprise . App Check помогает гарантировать, что доступ к ресурсам бэкэнда вашего проекта будет только у вашего приложения. Чтобы узнать больше, ознакомьтесь с нашим обзором App Check .

Для App Check требуется использование ключей reCAPTCHA на основе оценок , что делает его невидимым для пользователей. Это означает, что поставщик reCAPTCHA Enterprise не потребует от пользователей решения контрольной задачи.

Если для вашего сценария использования требуются функции reCAPTCHA Enterprise , не реализованные в App Check , или если вы хотите использовать App Check с собственным пользовательским поставщиком, см. раздел «Реализация пользовательского поставщика App Check .

1. Настройте свой проект Firebase.

  1. Если вы еще этого не сделали, добавьте Firebase в свой JavaScript-проект .

  2. В консоли Google Cloud перейдите на страницу «Защита от мошенничества» и выполните следующие действия для поставщика reCAPTCHA Enterprise :

    1. Убедитесь, что вы находитесь в правильном проекте (см. окно выбора проекта в верхней части экрана).

    2. При появлении запроса включите API reCAPTCHA Enterprise .

    3. Создайте ключ типа Web и укажите каждый из доменов для ваших веб-приложений.

      • App Check не поддерживает веб-приложения, размещенные более чем на 250 доменах.

      • Никогда не добавляйте localhost в качестве домена к ключу reCAPTCHA , который развернут (или будет развернут) в производственной среде.

      • Оставьте параметр "Использовать проверку флажком" невыбранным .

      Подробные инструкции см. в разделе «Создание ключей reCAPTCHA на основе оценок» .

    4. Запишите этот ключ. Вам потребуется добавить его в процесс регистрации в консоли Firebase .

  3. В консоли Firebase перейдите в раздел Безопасность > Проверка приложений .

  4. На вкладке «Приложения» зарегистрируйте свои веб-приложения для использования App Check с поставщиком reCAPTCHA Enterprise . Вам потребуется указать ключ, полученный в консоли Google Cloud .

  5. Необязательно : установите время жизни токена (TTL).

    В настройках регистрации приложения установите пользовательское время жизни (TTL) для токенов App Check выданных провайдером. Вы можете установить TTL на любое значение от 30 минут до 7 дней. При изменении этого значения следует учитывать следующие компромиссы:

    • Безопасность: Более короткие значения TTL обеспечивают более высокую безопасность, поскольку сокращают период времени, в течение которого утечка или перехват токена могут быть использованы злоумышленником в корыстных целях.
    • Производительность: Более короткие значения TTL означают, что ваше приложение будет выполнять аттестацию чаще. Поскольку процесс аттестации приложения каждый раз добавляет задержку к сетевым запросам, короткий TTL может повлиять на производительность вашего приложения.
    • Квота и стоимость: Более короткие сроки действия TTL и частая повторная аттестация быстрее истощают вашу квоту, а для платных услуг могут стоить дороже. См. раздел «Квоты и лимиты» .

    Значение TTL по умолчанию, равное 1 часу, является разумным для большинства приложений. Обратите внимание, что библиотека App Check обновляет токены примерно через половину времени TTL.

  6. Необязательно : Настройте дополнительные параметры.

  7. Нажмите « Сохранить ».

(Необязательно) Настройка дополнительных параметров

Когда пользователь открывает ваше приложение, reCAPTCHA Enterprise оценивает уровень риска взаимодействия пользователя с ключевыми словами и возвращает оценку от 0,0 до 1,0 с шагом 0,1.

  • Оценка 0,0 указывает на то, что взаимодействие сопряжено с высоким риском и может быть мошенническим.
  • Оценка 1,0 указывает на то, что взаимодействие представляет низкий риск и, скорее всего, является законным.

App Check позволяет настроить пороговое значение риска для приложения , чтобы вы могли скорректировать свой уровень допустимого риска.

Для большинства сценариев использования рекомендуется использовать значение порога риска по умолчанию, равное 0,5 . Если ваш сценарий требует корректировки, вы можете настроить это значение для каждого из ваших приложений в консоли Firebase (перейдите в раздел Безопасность > Проверка приложений ). Обязательно ознакомьтесь с важными моментами, касающимися настройки порога риска для приложений, приведенными ниже.

2. Добавьте библиотеку App Check в свое приложение.

Если вы еще этого не сделали, установите Firebase JavaScript SDK и инициализируйте Firebase в своем приложении .

3. Инициализация App Check

Добавьте следующий код инициализации App Check в начало вашего приложения, чтобы он выполнялся до того, как вы обратитесь к каким-либо сервисам Firebase в вашем приложении.

Убедитесь, что вы используете тот же ключ reCAPTCHA , который применяли для регистрации приложения в reCAPTCHA Enterprise в консоли Firebase (см. первый раздел руководства).

Web

import { initializeApp } from "firebase/app";
import { initializeAppCheck, ReCaptchaEnterpriseProvider } from "firebase/app-check";

const app = initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance
// using your reCAPTCHA Enterprise key and pass it to `initializeAppCheck()`.
const appCheck = initializeAppCheck(app, {
  provider: new ReCaptchaEnterpriseProvider(RECAPTCHA_KEY),
  isTokenAutoRefreshEnabled: true // Set to true to allow auto-refresh.
});

Web 

firebase.initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance
// using your reCAPTCHA Enterprise key and pass it to `activate()`.
const appCheck = firebase.appCheck();
appCheck.activate(
  new firebase.appCheck.ReCaptchaEnterpriseProvider(
    RECAPTCHA_KEY
  ),
  true // Set to true to allow auto-refresh.
);

4. Отслеживать показатели и обеспечивать их соблюдение.

После настройки App Check в вашем приложении начните распространение обновленного приложения среди пользователей.

Обновленное клиентское приложение начнет отправлять токены App Check вместе с каждым запросом в Firebase. Однако App Check не будет блокировать запросы с недействительными токенами до тех пор, пока не будет активирована App Check .

Мониторинг метрик

Прежде чем включать функцию принудительного применения , убедитесь, что это не нарушит работу существующих законных пользователей. Однако, если вы наблюдаете подозрительное использование ресурсов вашего приложения, возможно, стоит включить функцию принудительного применения раньше.

Чтобы помочь вам принять это решение, вы можете просмотреть показатели App Check для используемых вами сервисов:

Включить принудительное выполнение App Check

Когда вы поймете, как App Check повлияет на ваших пользователей, и будете готовы продолжить, вы можете включить принудительное применение App Check :

Используйте App Check в средах отладки.

App Check классифицирует некоторые среды как недопустимые, например, запросы с localhost во время разработки или из среды непрерывной интеграции (CI).

Чтобы запустить ваше приложение в подобных средах после внедрения App Check , вам необходимо создать отладочную сборку приложения, использующую отладочный поставщик App Check вместо производственного поставщика аттестации.

Для получения более подробной информации см. раздел «Использование App Check с помощью поставщика отладки в веб-приложениях» .

Цены

App Check создает от вашего имени проверку для подтверждения токена ответа пользователя каждый раз, когда ваше приложение обновляет свой токен App Check . За каждую проверку, созданную сверх бесплатного лимита, с вашего проекта Firebase будет взиматься плата. Подробности см. в разделе «Цены reCAPTCHA .

По умолчанию ваше приложение будет обновлять этот токен дважды в час . Чтобы контролировать частоту обновления токенов App Check (и, следовательно, частоту создания новых тестов), вы можете настроить значение TTL токена .