שאלות נפוצות ופתרון בעיות בנושא אימות

איך אפשר למנוע שימוש לרעה ב-SMS כשמשתמשים באימות טלפוני?

כדי להגן על הפרויקט מפני ניפוח תנועת SMS וניצול לרעה של API, צריך לבצע את הפעולות הבאות:

כדאי להגדיר מדיניות לגבי אזורים גיאוגרפיים לאחסון נתונים ב-SMS

1. איך רואים את השימוש ב-SMS לפי אזור

   מחפשים אזורים עם מספר גבוה מאוד של הודעות SMS שנשלחו ומספר נמוך מאוד (או אפס) של הודעות SMS מאומתות. היחס בין מספר האימותים למספר ההודעות שנשלחו הוא שיעור ההצלחה שלכם. שיעורי הצלחה תקינים הם בדרך כלל בטווח של 70-85%, כי SMS הוא לא פרוטוקול מסירה מובטח, ובאזורים מסוימים עלולות להיות בעיות של שימוש לרעה. שיעורי הצלחה נמוכים מ-50% מעידים על שליחת הודעות SMS רבות אבל על מספר קטן של התחברויות מוצלחות. זהו סימן נפוץ לשימוש לרעה ולניפוח תנועת SMS.

2. אפשר להשתמש במדיניות בנושא אזורי SMS כדי לדחות אזורי SMS עם שיעורי הצלחה נמוכים, או לאפשר רק אזורים מסוימים אם האפליקציה מיועדת להפצה רק בשווקים מסוימים.

הגבלת הדומיינים המורשים לאימות

אפשר להשתמש בלוח הבקרה של הגדרות האימות כדי לנהל דומיינים מורשים. הדומיין localhost מתווסף כברירת מחדל לדומיינים המאושרים לאימות כדי לפשט את הפיתוח. כדי למנוע מגורמים זדוניים להריץ קוד ב-localhost שלהם כדי לגשת לפרויקט הייצור, מומלץ להסיר את localhost מהדומיינים המורשים בפרויקט הייצור.

הפעלה ואכיפה של App Check

מפעילים את App Check כדי להגן על הפרויקט מפני ניצול לרעה של ממשקי API. הפעלת התכונה מאשרת שהבקשות מגיעות רק מאפליקציות שמשויכות לפרויקט.

כדי להשתמש ב-App Check עם Firebase Authentication, צריך לשדרג ל-Firebase Authentication with Identity Platform.

חשוב לזכור שצריך לאכוף את App Check עבור Authentication במסוף Firebase (מומלץ לעקוב אחרי התנועה לפני האכיפה). בנוסף, כדאי לבדוק שוב את רשימת האתרים המאושרים ב-reCAPTCHA Enterprise כדי לוודא שהיא כוללת רק את אתרי הייצור שלכם, ושהרשימה של האפליקציות שרשומות לפרויקט ב-App Check מדויקת.

שימו לב שהפרמטר App Check עוזר להגן מפני מתקפות אוטומטיות על ידי אישור שהקריאה מגיעה מאחת מהאפליקציות הרשומות שלכם. היא לא מונעת מהמשתמשים להשתמש באפליקציה שלך בדרכים לא מכוונות (לדוגמה, להתחיל תהליכי התחברות ואז לא לסיים אותם כדי ליצור הודעות SMS שנשלחות).

האם יש תמיכה באימות טלפוני של מספרי טלפון שמועברים לספק חדש?

בשלב הזה, אם מספרים יועברו בין ספקי תקשורת, כל הודעות ה-SMS לא יועברו למשתמשי הקצה האלה. אין פתרון עקיף, וצוות Firebase פועל כדי לפתור את הבעיה.

למה אני מקבל את השגיאה הבאה באפליקציה שלי ל-Android:
Google sign in failed?

אם אתם מקבלים את השגיאה הבאה, כדאי לפעול לפי השלבים לפתרון בעיות שמפורטים בתשובות לשאלות הנפוצות:

GoogleFragment: Google sign in failed
    com.google.android.gms.common.api.ApiException: 13: Unable to get token.
        at
com.google.android.gms.internal.auth-api.zbay.getSignInCredentialFromIntent(com.google.android.gms:play-services-auth@@20.3.0:6)

1. מוודאים שהכניסה באמצעות Google מופעלת בצורה תקינה כספק אימות:

   1. במסוף Firebase, פותחים את הקטע Authentication.

   2. בכרטיסייה שיטת התחברות, משביתים את שיטת ההתחברות Google ואז מפעילים אותה מחדש (גם אם היא כבר מופעלת):

      1. פותחים את שיטת הכניסה Google, משביתים אותה ולוחצים על שמירה.

      2. פותחים מחדש את שיטת הכניסה Google, מפעילים אותה ולוחצים על שמירה.

2. מוודאים שהאפליקציה משתמשת בקובץ ההגדרות העדכני של Firebase‏ (google-services.json).
   איך מקבלים את קובץ ההגדרות של האפליקציה

3. בודקים אם השגיאה עדיין מופיעה. אם כן, ממשיכים לשלב הבא לפתרון בעיות.

4. מוודאים שקיימים לקוחות OAuth 2.0 בסיסיים נדרשים.

   1. בדף Credentials במסוף Google Cloud, מחפשים את הקטע OAuth 2.0 Client IDs.

   2. אם לקוחות OAuth 2.0 לא מופיעים (ואם ביצעתם את כל השלבים לפתרון הבעיות שלמעלה), צריך לפנות לתמיכה.

באפליקציה שלי לפלטפורמת Apple, למה מופיעה השגיאה הבאה:
You must specify <clientID> in <GIDConfiguration>?

אם אתם מקבלים את השגיאה הבאה, כדאי לפעול לפי השלבים לפתרון בעיות שמפורטים בתשובות לשאלות הנפוצות:

You must specify |clientID| in |GIDConfiguration|

1. מוודאים שהכניסה באמצעות Google מופעלת בצורה תקינה כספק אימות:

   1. במסוף Firebase, פותחים את הקטע Authentication.

   2. בכרטיסייה שיטת התחברות, משביתים את שיטת ההתחברות Google ואז מפעילים אותה מחדש (גם אם היא כבר מופעלת):

      1. פותחים את שיטת הכניסה Google, משביתים אותה ולוחצים על שמירה.

      2. פותחים מחדש את שיטת הכניסה Google, מפעילים אותה ולוחצים על שמירה.

2. מוודאים שהאפליקציה משתמשת בקובץ ההגדרות העדכני של Firebase‏ (GoogleService-Info.plist).
   איך מקבלים את קובץ ההגדרות של האפליקציה

3. בודקים אם השגיאה עדיין מופיעה. אם כן, ממשיכים לשלב הבא לפתרון בעיות.

4. מוודאים שקיימים לקוחות OAuth 2.0 בסיסיים נדרשים.

   1. בדף Credentials במסוף Google Cloud, מחפשים את הקטע OAuth 2.0 Client IDs.

   2. אם לקוחות OAuth 2.0 לא מופיעים (ואם ביצעתם את כל השלבים לפתרון הבעיות שלמעלה), צריך לפנות לתמיכה.

למה מופיעה השגיאה הבאה באפליקציית האינטרנט שלי:
AuthErrorCode.INVALID_OAUTH_CLIENT_ID?

אם אתם מקבלים את השגיאה הבאה, כדאי לפעול לפי השלבים לפתרון בעיות שמפורטים בתשובות לשאלות הנפוצות:

AuthErrorCode.INVALID_OAUTH_CLIENT_ID

1. מוודאים שהכניסה באמצעות Google מופעלת בצורה תקינה כספק אימות:

   1. במסוף Firebase, פותחים את הקטע Authentication.

   2. בכרטיסייה שיטת התחברות, משביתים את שיטת ההתחברות Google ואז מפעילים אותה מחדש (גם אם היא כבר מופעלת):

      1. פותחים את שיטת הכניסה Google, משביתים אותה ולוחצים על שמירה.

      2. פותחים מחדש את שיטת הכניסה Google, מפעילים אותה ולוחצים על שמירה.

2. בנוסף, בקטע Authentication של הגדרת ספק הכניסה Google, מוודאים שמזהה הלקוח והסוד של OAuth זהים ללקוח האינטרנט שמוצג בדף פרטי הכניסה במסוף Google Cloud (בקטע מזהי לקוח OAuth 2.0).

למה הכניסה לאפליקציית האינטרנט שלי באמצעות הפניות אוטומטיות נכשלת עם השגיאה הבאה:
This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation?

אם אתם מקבלים את השגיאה הבאה, כדאי לפעול לפי השלבים לפתרון בעיות שמפורטים בתשובות לשאלות הנפוצות:

This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation.

הסיבה לשגיאה הזו היא כנראה שהדומיין להפניה לא מופיע כדומיין מורשה ל-Firebase Authentication, או שמפתח ה-API שבו אתם משתמשים עם שירות Firebase Authentication לא תקין.

קודם צריך לוודא ש-YOUR_REDIRECT_DOMAIN מופיע ברשימת הדומיינים המורשים של פרויקט Firebase. אם הדומיין להפניה אוטומטית כבר מופיע שם, ממשיכים לפתור בעיות שקשורות למפתח API לא תקין.

כברירת מחדל, Firebase Authentication JS SDK מסתמך על מפתח ה-API של פרויקט Firebase שלכם, שמסומן כ-Browser key, והוא משתמש במפתח הזה כדי לוודא שכתובת ה-URL של ההפניה האוטומטית לכניסה תקפה בהתאם לרשימת הדומיינים המורשים. ‫Authentication מקבל את מפתח ה-API הזה בהתאם לאופן הגישה ל-SDK:Authentication

• אם אתם משתמשים בHostingעוזרים לאימות שסופקו על ידיAuthentication JS SDK כדי להכניס משתמשים, Firebase מקבל באופן אוטומטי את מפתח ה-API עם שאר הגדרות Firebase בכל פעם שאתם מבצעים פריסה ל-Firebase Hosting. חשוב לוודא ש-authDomain באפליקציית האינטרנט firebaseConfig מוגדר כראוי לשימוש באחד מהדומיינים של אתר Hosting. כדי לבדוק את זה, צריך להיכנס אל https://authDomain__/firebase/init.json ולבדוק אם projectId זהה לזה שמופיע ב-firebaseConfig.

• אם אתם מארחים בעצמכם את קוד הכניסה, אתם יכולים להשתמש בקובץ __/firebase/init.json כדי לספק את ההגדרה של Firebase לכלי העזר להפניה אוטומטית של Firebase Authentication JS SDK שמתארח בעצמו. מפתח ה-API והערך projectId שמופיעים בקובץ ההגדרות הזה צריכים להיות זהים לערכים של אפליקציית האינטרנט firebaseConfig.

כדי לוודא שמפתח ה-API לא נמחק, עוברים לחלונית APIs & Services > Credentials במסוף Google Cloud, שבה מופיעים כל מפתחות ה-API של הפרויקט.

• אם Browser key לא נמחק, כדאי לבדוק את הדברים הבאים:

  • מוודאים ש-Firebase Authentication API מופיע ברשימת ממשקי ה-API המורשים למפתח כדי לגשת (מידע נוסף על הגבלות API למפתחות API).

  • אם אתם מארחים בעצמכם את קוד הכניסה, ודאו שמפתח ה-API שמופיע בקובץ __/firebase/init.json זהה למפתח ה-API במסוף Google Cloud. אם צריך, מתקנים את המפתח בקובץ ומפרסמים מחדש את האפליקציה.

  • אם Browser key נמחק, אפשר לבקש מ-Firebase ליצור מפתח API חדש: במסוף Firebase, עוברים אל settings > הגדרות הפרויקט, ואז בקטע Your apps (האפליקציות שלך), לוחצים על אפליקציית האינטרנט. הפעולה הזו יוצרת באופן אוטומטי מפתח API שמופיע בקטע SDK setup and configuration (הגדרה והגדרות של ה-SDK) של אפליקציית האינטרנט.

  שימו לב שבמסוף Google Cloud, מפתח ה-API החדש לא ייקרא Browser key, אלא הוא יקבל את אותו שם כמו הכינוי של אפליקציית האינטרנט שלכם ב-Firebase. אם מחליטים להוסיף הגבלות על ממשקי API למפתח ה-API החדש הזה, צריך לוודא שממשק Firebase Authentication API מופיע ברשימת ממשקי ה-API המותרים.

  אחרי שיוצרים מפתח API חדש, צריך לבצע את השלבים הרלוונטיים שבהמשך:

  • אם אתם משתמשים בכתובות URL Hostingשמורות, צריך לפרוס מחדש את האפליקציה ב-Firebase כדי שהמערכת תוכל לקבל באופן אוטומטי את מפתח ה-API החדש עם שאר הגדרות התצורה של Firebase.

  • אם אתם מארחים בעצמכם את קוד הכניסה, צריך להעתיק את מפתח ה-API החדש, להוסיף אותו לקובץ __/firebase/init.json ואז לפרוס מחדש את האפליקציה.

איך יוצרים באופן ידני לקוח OAuth לאינטרנט?

1. פותחים את הדף Credentials במסוף Google Cloud.

2. בחלק העליון של הדף, בוחרים באפשרות Create credentials > OAuth client ID (יצירת פרטי כניסה > מזהה לקוח OAuth).

3. אם מוצגת בקשה להגדיר את מסך ההסכמה, פועלים לפי ההוראות במסך ואז ממשיכים לשלבים הבאים בשאלות הנפוצות האלה.

4. יוצרים את לקוח האינטרנט OAuth:

   1. ב-Application Type (סוג האפליקציה), בוחרים באפשרות Web application (אפליקציית אינטרנט).

   2. בקטע מקורות מורשים של JavaScript, מוסיפים את הערכים הבאים:

      • http://localhost
      • http://localhost:5000
      • https://PROJECT_ID.firebaseapp.com
      • https://PROJECT_ID.web.app

   3. בקטע Authorized Redirect URIs (כתובות URI מורשות להפניה אוטומטית), מוסיפים את הכתובות הבאות:

      • https://PROJECT_ID.firebaseapp.com/__/auth/handler
      • https://PROJECT_ID.web.app/__/auth/handler

   4. שומרים את לקוח ה-OAuth.

5. מעתיקים את מזהה הלקוח ואת הסוד החדשים ב-OAuth ללוח.

6. במסוף Firebase, פותחים את הקטע Authentication.

7. בכרטיסייה Sign in method (שיטת הכניסה), פותחים את ספק Google sign-in (כניסה באמצעות חשבון Google), ואז מדביקים את מספר הלקוח ואת הסוד של שרת האינטרנט שיצרתם והעתקתם מ-Google Cloud console. לוחצים על Save.

איך נקבע %APP_NAME% בתבנית האימייל של אישור שנשלח למשתמש כשהוא נרשם באמצעות כתובת אימייל וסיסמה?

לפני דצמבר 2022, הערך של %APP_NAME% בתבנית האימייל היה שם המותג של OAuth שהוקצה באופן אוטומטי בכל פעם שאפליקציית Android נרשמה בפרויקט Firebase. עכשיו, מכיוון שהמותג OAuth מוקצה רק כשמופעלת כניסה באמצעות חשבון Google, בהמשך מוסבר איך נקבע הערך %APP_NAME%:

• אם שם המותג של OAuth זמין, אז %APP_NAME% בתבנית האימייל יהיה שם המותג של OAuth (כמו ההתנהגות לפני דצמבר 2022).

• אם שם המותג של OAuth לא זמין, כך נקבע %APP_NAME% בתבנית האימייל:

  • באפליקציות אינטרנט, הערך של %APP_NAME% יהיה שם האתר שמוגדר כברירת מחדל Firebase Hosting (הערך שלפני .firebaseapp.com ו-.web.app, ובדרך כלל מזהה פרויקט Firebase).

  • באפליקציות לנייד:

    • אם שם החבילה ל-Android או מזהה החבילה ל-iOS מופיעים בבקשה, אז %APP_NAME% יהיה שם האפליקציה שמופיע בחנות Play או ב-App Store (בהתאמה).

    • אחרת, %APP_NAME% יהיה שם האתר שמוגדר כברירת מחדל Firebase Hosting (הערך שלפני .firebaseapp.com ו-.web.app, ובדרך כלל מזהה הפרויקט ב-Firebase).

  שימו לב שאם החיפוש של שם האתר שמוגדר כברירת מחדל Firebase Hosting נכשל, המערכת תשתמש כמפלט האחרון במזהה הפרויקט ב-Firebase בתור %APP_NAME%.