Firebase App Check
App Check protège les backends d'applications contre les utilisations abusives en empêchant des clients non autorisés à accéder à vos ressources backend. Il est compatible avec les services Google (y compris Firebase et les services Google Cloud) et votre vos propres backends pour sécuriser vos ressources.
Avec App Check, les appareils exécutant votre appli utiliseront une appli ou un appareil qui atteste de l'un des éléments suivants, ou des deux:
- Les requêtes proviennent de votre application authentique
- Les requêtes proviennent d'un appareil authentique et non falsifié.
Cette attestation est jointe à chaque requête que votre application envoie aux API que vous spécifier. Lorsque vous activez l'application de App Check, les requêtes des clients sans attestation valide sont refusées, tout comme toute requête provenant d'une application ou d'une plate-forme que vous n'avez pas autorisée.
App Check est compatible avec l'utilisation des services suivants en tant que fournisseurs d'attestation:
- DeviceCheck ou App Attest sur les plates-formes Apple
- Play Integrity sur Android
- reCAPTCHA Enterprise dans les applications Web.
S'ils ne répondent pas à vos besoins, vous pouvez également implémenter vos propres service qui utilise un fournisseur d'attestation tiers ou le vôtre d'attestation.
App Check est compatible avec les services Google suivants :
| Services Google compatibles |
|---|
| Firebase Data Connect (Bêta) |
| Realtime Database |
| Cloud Firestore |
| Cloud Storage |
| Cloud Functions (fonctions appelables) |
| Authentication (bêta ; nécessite la mise à niveau vers Firebase Authentication with Identity Platform) |
| Identité Google pour iOS (bêta) |
| Vertex AI in Firebase (Bêta) |
Vous pouvez également utiliser App Check pour protéger vos ressources backend autres que Google.
Fonctionnement
Lorsque vous activez App Check pour un service et que vous incluez le SDK client dans votre application, voici ce qui se produit régulièrement:
- Votre application interagit avec le fournisseur de votre choix pour obtenir une attestation de l'authenticité de l'application ou de l'appareil (ou les deux, selon le fournisseur).
- L'attestation est envoyée au serveur App Check, qui vérifie la validité de l'attestation à l'aide de paramètres enregistrés auprès de l'application ; et renvoie à votre application un jeton App Check avec un délai d'expiration. Ce jeton peut conserver certaines informations sur le matériel d'attestation qu'il a validé.
- Le SDK client App Check met en cache le jeton dans votre application, prêt à être envoyé ainsi que toutes les requêtes que votre application envoie à des services protégés.
Un service protégé par App Check n'accepte que les requêtes accompagnées d'un jeton App Check actuel et valide.
Quelle est la sécurité fournie par App Check ?
App Check s'appuie sur la solidité de ses fournisseurs d'attestation pour déterminer l'authenticité de l'application ou de l'appareil. Il empêche certains, mais pas tous, les vecteurs d'abus dirigés vers vos backends. L'utilisation de App Check ne garantit pas l'élimination de toutes les utilisations abusives, mais en l'intégrant, vous prenez une mesure importante pour protéger vos ressources backend contre toute utilisation abusive.
Quel est le lien entre App Check et Firebase Authentication ?
App Check et Firebase Authentication sont des éléments complémentaires de la sécurité de votre application. Firebase Authentication fournit une authentification utilisateur, qui protège vos utilisateurs, tandis que App Check fournit une attestation d'authenticité de l'application ou de l'appareil, qui vous protège, vous, le développeur. App Check protège l'accès à vos ressources backend Google et à vos backends personnalisés en exigeant que les appels d'API contiennent un jeton App Check valide. Ces deux concepts fonctionnent ensemble pour sécuriser votre application.
Quotas et limites
Votre utilisation de App Check est soumise aux quotas et limites des fournisseurs d'attestation que vous utilisez.
L'accès à DeviceCheck et à App Attest est soumis à tous les quotas ou limitations définis par Apple.
Play Integrity a un quota quotidien de 10 000 appels pour l'utilisation de l'API standard à un niveau supérieur. Pour savoir comment augmenter votre niveau d'utilisation, consultez la documentation sur Play Integrity.
SafetyNet dispose d'un quota quotidien de 10 000 appels. Pour savoir comment demander une augmentation de quota, consultez la documentation SafetyNet.
reCAPTCHA Enterprise est sans frais pour 10 000 évaluations par mois, et des frais s'appliquent au-delà. Consultez les tarifs de reCAPTCHA.
Commencer
Prêt à vous lancer ?
Plates-formes Apple
DeviceCheck (Vérification de l'appareil) App Attest
Android
Web
Flutter
C++
Unity
Découvrez comment implémenter un fournisseur App Check personnalisé.
Découvrez comment utiliser App Check pour protéger vos ressources backend non Google.
Sélectionnez votre plate-forme:
iOS ou version ultérieure Sur Android Web Flutter