Firebase App Check

App Check aide à protéger les backends de vos applications contre toute utilisation abusive en empêchant les clients non autorisés d'accéder à vos ressources backend. Il est compatible avec les services Google (y compris Firebase et les services Google Cloud) et votre vos propres backends pour sécuriser vos ressources.

Avec App Check, les appareils exécutant votre application utiliseront un fournisseur d'attestation d'application ou d'appareil qui atteste de l'un ou de l'autre des éléments suivants :

  • Les demandes proviennent de votre appli authentique
  • Les requêtes proviennent d'un appareil authentique et non falsifié.

Cette attestation est jointe à chaque requête que votre application envoie aux API que vous spécifier. Lorsque vous activez l'application forcée de App Check, les requêtes provenant de les clients sans attestation valide seront rejetés, de même que toute requête provenant d'une application ou d'une plate-forme que vous n'avez pas autorisée.

App Check est compatible avec les services suivants en tant que fournisseurs d'attestation :

Si ces options ne répondent pas à vos besoins, vous pouvez également implémenter votre propre service qui utilise un fournisseur d'attestation tiers ou vos propres techniques d'attestation.

App Check fonctionne avec les services Google suivants:

Services Google compatibles
Firebase Data Connect (Bêta)
Realtime Database
Cloud Firestore
Cloud Storage
Cloud Functions (fonctions appelables)
Authentication (bêta ; nécessite une mise à niveau vers Firebase Authentication with Identity Platform)
Identité Google pour iOS (bêta)
Vertex AI in Firebase (Bêta)

Vous pouvez également utiliser App Check pour protéger vos ressources backend autres que Google.

Découvrez comment vous lancer

Fonctionnement

Lorsque vous activez App Check pour un service et que vous incluez le SDK client dans votre application, voici ce qui se produit régulièrement:

  1. Votre application interagit avec le fournisseur de votre choix pour obtenir une attestation de l'authenticité de l'application ou de l'appareil (ou les deux, selon le fournisseur).
  2. L'attestation est envoyée au serveur App Check, qui vérifie la validité de l'attestation à l'aide des paramètres enregistrés auprès de l'application, puis renvoie à votre application un jeton App Check avec une date d'expiration. Ce jeton peut conserver certaines informations sur le matériel d'attestation qu'il a validé.
  3. Le SDK client App Check met en cache le jeton dans votre application, prêt à être envoyé ainsi que toutes les requêtes que votre application envoie à des services protégés.

Un service protégé par App Check n'accepte que les requêtes accompagnées par un jeton App Check actuel et valide.

Quelle est la sécurité fournie par App Check ?

App Check s'appuie sur la solidité de ses fournisseurs d'attestation pour déterminer l'authenticité de l'application ou de l'appareil. Elle empêche certains vecteurs d'abus, mais pas tous vers vos backends. L'utilisation de App Check ne garantit pas l'élimination de tous les abus, mais en intégrant App Check, vous n'êtes une étape importante vers la protection contre les abus pour vos ressources backend.

App Check et Firebase Authentication sont des éléments complémentaires de la sécurité de votre application. Firebase Authentication fournit une authentification des utilisateurs, ce qui protège votre les utilisateurs, tandis que App Check fournit une attestation de l'authenticité de l'application ou de l'appareil. qui vous protège, en tant que développeur. App Check protège l'accès à votre compte Google vos ressources de backend et vos backends personnalisés en exigeant que les appels d'API contiennent un code Jeton App Check. Ces deux concepts fonctionnent ensemble pour sécuriser votre application.

Quotas et limites

Votre utilisation de App Check est soumise aux quotas et limites des fournisseurs d'attestation que vous utilisez.

  • L'accès à DeviceCheck et App Attest est soumis aux quotas ou limites définis par Apple.

  • Play Integrity a un quota quotidien de 10 000 appels pour l'utilisation de l'API standard à un niveau supérieur. Pour savoir comment augmenter votre niveau d'utilisation, consultez la documentation sur Play Integrity.

  • SafetyNet dispose d'un quota quotidien de 10 000 appels. Pour savoir comment demander une augmentation de quota, consultez la documentation SafetyNet.

  • reCAPTCHA Enterprise propose 10 000 évaluations par mois sans frais, les coûts au-delà de cela. Consultez les tarifs de reCAPTCHA.

Commencer

Prêt à vous lancer ?

Plates-formes Apple

DeviceCheck (Vérification de l'appareil) App Attest

Android

Play Integrity

Web

reCAPTCHA Enterprise

Flutter

Fournisseurs par défaut

C++

Fournisseurs par défaut

Unity

Fournisseurs par défaut

Découvrez comment implémenter un fournisseur App Check personnalisé.

Fournisseurs personnalisés

Découvrez comment utiliser App Check pour protéger vos ressources backend autres que Google

Sélectionnez votre plate-forme :

iOS+ Android Web Flutter