Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Iniziare a utilizzare App Check con reCAPTCHA Enterprise nelle app web

Seleziona piattaforma:

iOS+ Android Web Flutter

Questa pagina mostra come configurare App Check in un'app web utilizzando il provider reCAPTCHA Enterprise. App Check contribuisce a garantire che solo la tua app possa accedere alle risorse di backend del progetto. Per saperne di più, consulta la nostra panoramica di App Check.

App Check richiede l'utilizzo di chiavi basate sul punteggio reCAPTCHA, che lo rendono invisibile agli utenti. Ciò significa che il fornitore reCAPTCHA Enterprise non richiederà agli utenti di risolvere una sfida in nessun momento.

Se il tuo caso d'uso richiede funzionalità reCAPTCHA Enterprise non implementate da App Check o se vuoi utilizzare App Check con il tuo provider personalizzato, consulta Implementare un provider App Check personalizzato.

1. Configura il progetto Firebase

Se non l'hai ancora fatto, aggiungi Firebase al tuo progetto JavaScript.
Nella console Google Cloud, vai alla pagina Fraud Defense e procedi nel seguente modo per il provider reCAPTCHA Enterprise:
1. Assicurati di trovarti nel progetto corretto (vedi il selettore di progetti nella parte superiore dello schermo).
2. Se richiesto, abilita l'API reCAPTCHA Enterprise.
3. Crea una chiave di tipo Web e specifica ciascuno dei domini per le tue app web.
  - App Check non supporta le app web pubblicate su più di 250 domini.
  - Non aggiungere mai localhost come dominio a una chiave reCAPTCHA che viene implementata (o verrà implementata) in produzione.
  - Lascia l'opzione "Utilizza la sfida della casella di controllo" deselezionata.
  Per istruzioni dettagliate, vedi Creare chiavi reCAPTCHA basate sul punteggio.
4. Prendi nota di questa chiave. Dovrai aggiungerlo al flusso di registrazione nella console Firebase.
Nella console Firebase, vai a Sicurezza > App Check.
Nella scheda App, registra le tue app web per utilizzare App Check con il provider reCAPTCHA Enterprise. Dovrai fornire la chiave ottenuta nella console Google Cloud.

Importante: assicurati di registrare tutte le app del progetto presso un fornitore di attestazioni (come reCAPTCHA Enterprise). Una volta attivata l'applicazione per un servizio, solo le app registrate potranno accedere al servizio.
(Facoltativo): imposta la durata (TTL) del token.

Nelle impostazioni di registrazione dell'app, imposta una durata (TTL) personalizzata per i token App Check emessi dal fornitore. Puoi impostare il TTL su qualsiasi valore compreso tra 30 minuti e 7 giorni. Quando modifichi questo valore, tieni presente i seguenti compromessi:
- Sicurezza: i TTL più brevi offrono una maggiore sicurezza, perché riducono il periodo di tempo in cui un token compromesso o intercettato può essere utilizzato in modo illecito da un malintenzionato.
- Rendimento: TTL più brevi significano che la tua app eseguirà l'attestazione più di frequente. Poiché il processo di attestazione dell'app aggiunge latenza alle richieste di rete ogni volta che viene eseguito, un TTL breve può influire sulle prestazioni dell'app.
- Quota e costi: TTL più brevi e riattestazioni frequenti esauriscono la quota più rapidamente e, per i servizi a pagamento, potrebbero costare di più. Consulta Quote e limiti.
Il TTL predefinito di 1 ora è ragionevole per la maggior parte delle app. Tieni presente che la libreria App Check aggiorna i token a circa metà della durata TTL.
(Facoltativo) Configura le impostazioni avanzate.
Fai clic su Salva.

(Facoltativo) Configurare le impostazioni avanzate

Quando un utente apre la tua app, reCAPTCHA Enterprise valuta il livello di rischio dell'interazione dell'utente in base alla chiave e restituisce un punteggio compreso tra 0,0 e 1,0, con incrementi di 0,1.

Un punteggio pari a 0,0 indica che l'interazione presenta un rischio elevato e potrebbe essere fraudolenta.
Un punteggio pari a 1,0 indica che l'interazione presenta un rischio basso e molto probabilmente è legittima.

App Check ti consente di configurare una soglia di rischio dell'app per regolare la tua tolleranza a questo rischio.

Per la maggior parte dei casi d'uso, è consigliabile il valore di soglia predefinito di 0,5. Se il tuo caso d'uso richiede una modifica, puoi configurare questo valore per ciascuna delle tue app nella console Firebase (vai a Sicurezza > App Check). Assicurati di espandere e rivedere alcune considerazioni importanti sulla configurazione della soglia di rischio dell'app di seguito.

Visualizzare considerazioni importanti sulla soglia di rischio dell'app

App Check utilizza la soglia di rischio dell'app configurata come punteggio minimo reCAPTCHA Enterprise richiesto affinché un'interazione utente venga considerata legittima. Tutti i punteggi reCAPTCHA Enterprise strettamente inferiori alla soglia configurata verranno rifiutati. Quando regoli la soglia di rischio dell'app, tieni presente quanto segue:

Se il tuo progetto Firebase utilizza il piano tariffario Spark senza costi aggiuntivi, dei 11 possibili livelli di punteggio reCAPTCHA Enterprise, sono disponibili solo i seguenti quattro: 0,1, 0,3, 0,7 e 0,9.

Durante questo periodo, App Check consentirà di conseguenza solo i valori di soglia del rischio dell'app pari a 0,1, 0,3, 0,5, 0,7 e 0,9. Un valore di soglia del rischio dell'app pari a 0,5 è comunque consigliato per la maggior parte dei casi d'uso.
- Per abilitare tutti gli 11 livelli di punteggio reCAPTCHA Enterprise, collega un account Cloud Billing al tuo progetto (il che significa che devi eseguire l'upgrade del progetto Firebase al piano tariffario Blaze con pagamento a consumo). Dopo aver eseguito l'upgrade del progetto, App Check ti consentirà di configurare qualsiasi valore di soglia di rischio dell'app compreso tra 0,0 e 1,0, con incrementi di 0,1.
  
  Nota :dopo aver collegato un account Cloud Billing al tuo progetto, viene attivata una revisione della sicurezza automatica per il progetto. Per saperne di più, consulta la documentazione di reCAPTCHA Enterprise.
Per monitorare la distribuzione dei punteggi reCAPTCHA Enterprise alti e bassi per la tua app, vai alla pagina reCAPTCHA Enterprise nella console Google Cloud e seleziona la chiave utilizzata dalla tua app.
Imposta la soglia di rischio dell'app in modo appropriato per la tua tolleranza:
- Se hai una tolleranza al rischio delle app elevata, sposta il cursore verso destra per diminuire la soglia di rischio delle app.
  - Un valore pari a 0,0 non è consigliato, in quanto questa impostazione disabilita la protezione dai comportamenti illeciti.
- Se hai una tolleranza al rischio delle app bassa, sposta il cursore verso sinistra per aumentare la soglia di rischio delle app.
  - Un valore pari a 1,0 non è consigliato, in quanto questa impostazione potrebbe anche negare l'accesso agli utenti legittimi che non soddisfano questa soglia di attendibilità elevata.
  Avviso: per evitare di interrompere l'attività dei tuoi utenti legittimi, aumenta gradualmente la soglia di rischio dell'app quando viene applicato App Check. Monitora App Checksempre le metriche delle richieste per verificare che il traffico non sia stato interrotto.

Per ulteriori dettagli, consulta la documentazione di reCAPTCHA Enterprise.

2. Aggiungere la libreria App Check all'app

Se non l'hai ancora fatto, installa l'SDK Firebase JavaScript e inizializza Firebase nella tua app.

3. Inizializza App Check

Aggiungi il seguente codice di inizializzazione App Check all'inizio della tua app in modo che venga eseguito prima di accedere a qualsiasi servizio Firebase nella tua app.

Assicurati di passare la stessa chiave reCAPTCHA che hai utilizzato per registrare la tua app con reCAPTCHA Enterprise nella console Firebase (vedi la prima sezione della guida).

Web

import { initializeApp } from "firebase/app";
import { initializeAppCheck, ReCaptchaEnterpriseProvider } from "firebase/app-check";

const app = initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance
// using your reCAPTCHA Enterprise key and pass it to `initializeAppCheck()`.
const appCheck = initializeAppCheck(app, {
  provider: new ReCaptchaEnterpriseProvider(RECAPTCHA_KEY),
  isTokenAutoRefreshEnabled: true // Set to true to allow auto-refresh.
});

Web

firebase.initializeApp({
  // Your Firebase configuration object.
});

// Create a ReCaptchaEnterpriseProvider instance
// using your reCAPTCHA Enterprise key and pass it to `activate()`.
const appCheck = firebase.appCheck();
appCheck.activate(
  new firebase.appCheck.ReCaptchaEnterpriseProvider(
    RECAPTCHA_KEY
  ),
  true // Set to true to allow auto-refresh.
);

4. Monitorare le metriche e attivare l'applicazione

Dopo aver configurato App Check nella tua app, inizia a distribuire l'app aggiornata ai tuoi utenti.

L'app client aggiornata inizierà a inviare token App Check insieme a ogni richiesta inviata a Firebase. Tuttavia, App Check non bloccherà le richieste con token non validi fino all'applicazione di App Check.

Monitora le metriche

Prima di attivare l'applicazione, assicurati che questa operazione non interrompa l'attività dei tuoi utenti legittimi esistenti. Tuttavia, se noti un utilizzo sospetto delle risorse della tua app, potresti voler attivare l'applicazione prima.

Per prendere questa decisione, puoi esaminare le metriche App Check per i servizi che utilizzi:

Monitora le metriche delle richieste App Check per Firebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity per iOS, API Maps JavaScript e API Places (nuova).
Monitora le metriche delle richieste App Check per Cloud Functions.

Attiva l'applicazione di App Check

Quando avrai compreso l'impatto di App Check sui tuoi utenti e sarai pronto a procedere, potrai attivare l'applicazione di App Check:

Attiva l'applicazione di App Check per Firebase AI Logic, SQL Connect, Realtime Database, Cloud Firestore, Cloud Storage, Authentication, Google Identity per iOS, API Maps JavaScript e API Places (nuova).
Attiva l'applicazione forzata di App Check per Cloud Functions.

Utilizzare App Check negli ambienti di debug

App Check classifica alcuni ambienti come non validi, ad esempio le richieste provenienti da localhost durante lo sviluppo o da un ambiente di integrazione continua (CI).

Per eseguire l'app in questi tipi di ambienti dopo l'applicazione di App Check, devi creare una build di debug dell'app che utilizzi il provider di debug di App Check anziché un provider di attestazione di produzione.

Per maggiori dettagli, vedi Utilizzare App Check con il provider di debug nelle app web.

Prezzi

App Check crea una valutazione per tuo conto per convalidare il token di risposta dell'utente ogni volta che la tua app aggiorna il token App Check. Al tuo progetto Firebase verrà addebitato un costo per ogni valutazione creata al di sopra della quota senza costi aggiuntivi. Per i dettagli, consulta i prezzi di reCAPTCHA.

Per impostazione predefinita, la tua app aggiornerà questo token due volte ogni ora. Per controllare la frequenza con cui la tua app aggiorna i token App Check (e quindi la frequenza con cui vengono create nuove valutazioni), puoi configurare il TTL del token.