認証に関するよくある質問とトラブルシューティング

電話認証の使用時に SMS の不正使用を防ぐにはどうすればよいですか？

SMS トラフィック ポンピングや API の不正使用からプロジェクトを保護するには、次の手順を行います。

SMS リージョン ポリシーの設定を検討する

1. リージョン SMS の使用状況を表示します。

   送信された SMS の数が非常に多く、確認済み SMS の数が非常に少ない（またはゼロの）リージョンを探します。送信数に対する確認済みの比率が成功率です。SMS は確実な配信プロトコルではないため、正常な成功率は通常 70 ～ 85% の範囲で、一部の地域では不正行為が発生する可能性があります。成功率 50% 未満は、SMS の送信回数は多いが、成功するログインはほとんどないことを意味します。これは、不正な行為者や SMS トラフィック ポンピングを示す一般的な指標です。

2. SMS リージョン ポリシーを使用して、成功率の低い SMS のリージョンを拒否するか、アプリが特定の市場での配信専用である場合は特定のリージョンのみを許可します。

認可された認証ドメインを制限する

認可されたドメインを管理するには、認証設定ダッシュボードを使用します。開発を簡素化するために、承認された認証ドメインに localhost ドメインがデフォルトで追加されます。不正な行為者が彼らの localhost でコードを実行して、本番環境プロジェクトにアクセスするのを防ぐために、本番環境プロジェクトの承認済みドメインから localhost を削除することを検討してください。

App Check を有効にして適用する

App Check を有効にして、プロジェクトに関連付けられたアプリケーションからのみリクエストが来ることを証明することで、API の不正使用からプロジェクトを保護できるようにします。

Firebase Authentication で App Check を使用するには、Firebase Authentication with Identity Platform にアップグレードする必要があります。

Firebase コンソールで Authentication に App Check を適用する必要があります（適用する前にトラフィックのモニタリングを検討してください）。また、reCAPTCHA Enterprise の承認サイトリストを再度確認し、本番環境サイトのみが含まれていることと、App Check でプロジェクトに登録されているアプリケーションのリストが正確であることを確認します。

App Check は、登録済みのアプリケーションのいずれかからの呼び出しであることを確認することで、自動攻撃から保護します。ユーザーがアプリを意図しない方法で使用すること（たとえば、送信された SMS を生成するためにログインフローを開始して終了しないなど）を防止するものではありません。

新しい携帯通信会社に移行した電話番号は、電話認証でサポートされますか？

現時点では、携帯通信会社間で番号を移行すると、そのエンドユーザーの SMS はすべて配信できなくなります。回避策はありません。Firebase では現在、この問題に取り組んでいます。

Android アプリで次のエラーが表示されるのはなぜですか？
Google sign in failed

次のエラーが表示された場合は、このよくある質問のトラブルシューティング手順を行ってください。

GoogleFragment: Google sign in failed
    com.google.android.gms.common.api.ApiException: 13: Unable to get token.
        at
com.google.android.gms.internal.auth-api.zbay.getSignInCredentialFromIntent(com.google.android.gms:play-services-auth@@20.3.0:6)

1. Google ログインが認証プロバイダとして適切に有効になっていることを確認します。

   1. Firebase コンソールで [Authentication] セクションを開きます。

   2. [ログイン方法] タブで、[Google] をいったん無効にしてから、再度有効にします（有効な場合も含む）。

      1. [Google] ログイン方法を開き、無効にしてから、[保存] をクリックします。

      2. [Google] ログイン方法を再度開いて有効にし、[保存] をクリックします。

2. アプリで最新の Firebase 構成ファイル（google-services.json）を使用していることを確認してください。
   アプリの構成ファイルを取得します。

3. 引き続きエラーが発生するかどうかを確認します。該当する場合は、次のトラブルシューティングの手順に進みます。

4. 基礎となる OAuth 2.0 クライアントがあることを確認します。

   1. Google Cloud コンソールの [認証情報] ページで、[OAuth 2.0 クライアント ID] セクションを確認します。

   2. OAuth 2.0 クライアントが存在せず、上記の手順をすべて完了している場合は、サポートに連絡してください。

Apple プラットフォーム アプリで次のエラーが表示されるのはなぜですか？
You must specify <clientID> in <GIDConfiguration>

次のエラーが表示された場合は、このよくある質問のトラブルシューティング手順を行ってください。

You must specify |clientID| in |GIDConfiguration|

1. Google ログインが認証プロバイダとして適切に有効になっていることを確認します。

   1. Firebase コンソールで [Authentication] セクションを開きます。

   2. [ログイン方法] タブで、[Google] をいったん無効にしてから、再度有効にします（有効な場合も含む）。

      1. [Google] ログイン方法を開き、無効にしてから、[保存] をクリックします。

      2. [Google] ログイン方法を再度開いて有効にし、[保存] をクリックします。

2. アプリで最新の Firebase 構成ファイル（GoogleService-Info.plist）を使用していることを確認してください。
   アプリの構成ファイルを取得します。

3. 引き続きエラーが発生するかどうかを確認します。該当する場合は、次のトラブルシューティングの手順に進みます。

4. 基礎となる OAuth 2.0 クライアントがあることを確認します。

   1. Google Cloud コンソールの [認証情報] ページで、[OAuth 2.0 クライアント ID] セクションを確認します。

   2. OAuth 2.0 クライアントが存在せず、上記の手順をすべて完了している場合は、サポートに連絡してください。

ウェブアプリで次のエラーが表示されるのはなぜですか？
AuthErrorCode.INVALID_OAUTH_CLIENT_ID

次のエラーが表示された場合は、このよくある質問のトラブルシューティング手順を行ってください。

AuthErrorCode.INVALID_OAUTH_CLIENT_ID

1. Google ログインが認証プロバイダとして適切に有効になっていることを確認します。

   1. Firebase コンソールで [Authentication] セクションを開きます。

   2. [ログイン方法] タブで、[Google] をいったん無効にしてから、再度有効にします（有効な場合も含む）。

      1. [Google] ログイン方法を開き、無効にしてから、[保存] をクリックします。

      2. [Google] ログイン方法を再度開いて有効にし、[保存] をクリックします。

2. また、[Authentication] セクションの [Google] ログイン プロバイダの設定で、OAuth クライアント ID とシークレットが、Google Cloud コンソールの [認証情報] ページに表示されるウェブ クライアントと一致していることを確認してください（[OAuth 2.0 クライアント ID] セクションを確認してください）。

ウェブアプリで、リダイレクトを使用したログインが失敗し、次のエラーが表示されるのはなぜですか？
This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation

次のエラーが表示された場合は、このよくある質問のトラブルシューティング手順を行ってください。

This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation.

このエラーは、リダイレクト ドメインが Firebase Authentication の承認済みドメインとしてリストされていない場合、または Firebase Authentication サービスで使用する API キーが無効な場合に発生する可能性があります。

まず、YOUR_REDIRECT_DOMAIN が Firebase プロジェクトの承認済みドメインのリストに含まれていることを確認します。リダイレクト ドメインがすでにリストに表示されている場合は、無効な API キーのトラブルシューティングに進みます。

デフォルトでは、Firebase Authentication JS SDK は Browser key というラベルが付いた Firebase プロジェクトの API キーに依存します。このキーを使用して、承認済みドメインのリストに従ってログイン リダイレクト URL が有効であることを確認します。Authentication は、Authentication SDK へのアクセス方法に応じてこの API キーを取得します。

• Hosting が提供する Auth ヘルパーを使用して Authentication JS SDK でユーザーがログインするようにした場合、Firebase は Firebase Hosting にデプロイするたびに、他の Firebase 構成とともに API キーを自動的に取得します。ウェブアプリ firebaseConfig の authDomain が、その Hosting サイトのドメインのいずれかを使用するように正しく構成されていることを確認します。これは、https://authDomain__/firebase/init.json に移動して、projectId が firebaseConfig のものと一致しているかチェックすることで確認できます。

• ログインコードを自社でホストする場合は、__/firebase/init.json ファイルを使用して、自社でホストする Authentication JS SDK リダイレクト ヘルパーに Firebase 構成を提供できます。API キーとこの構成ファイルにリストされている projectId は、ウェブアプリの firebaseConfig と一致している必要があります。

この API キーが削除されていないことを確認します。Google Cloud コンソールの [API とサービス] > [認証情報] パネルに移動し、プロジェクトのすべての API キーを確認します。

• Browser key が削除されていない場合は、次の点を確認してください。

  • Firebase Authentication API が、キーへのアクセスが許可された API のリストに含まれていることを確認します（API キーに対する API の制限の詳細）。

  • ログイン コードを自社でホストする場合は、__/firebase/init.json ファイルにリストされている API キーが Google Cloud コンソールの API キーと一致していることを確認します。必要に応じて、ファイル内のキーを修正してから、アプリを再デプロイします。

  • Browser key が削除されている場合は、Firebase で新しい API キーを生成できます。Firebase コンソールで、settings > プロジェクト設定 に移動し、[マイアプリ] セクションでウェブアプリをクリックします。この操作により、ウェブアプリの [SDK の設定と構成] セクションに表示される API キーが自動的に作成されます。

  Google Cloud コンソールでは、この新しい API キーは Browser key ではなく、Firebase ウェブアプリのニックネームと同じ名前になります。この新しい API キーに API の制限を追加する場合は、許可された API のリストに Firebase Authentication API が含まれていることを確認してください。

  新しい API キーが作成されたら、以下の該当する手順を完了します。

  • 予約済みの Hosting URL を使用している場合は、アプリを Firebase に再デプロイして、残りの Firebase 構成とともに新しい API キーを自動的に取得できるようにします。

  • ログイン コードを自社でホストしている場合は、新しい API キーをコピーして __/firebase/init.json ファイルに追加し、アプリを再デプロイします。

OAuth ウェブ クライアントを手動で構築するにはどうすればよいですか？

1. Google Cloud コンソールの [認証情報] ページを開きます。

2. ページの上部で [認証情報を作成] > [OAuth クライアント ID] を選択します。

3. 同意画面の設定を求められた場合は、画面上の指示に沿って、この「よくある質問」の次のステップに進みます。

4. OAuth ウェブ クライアントを作成します。

   1. [アプリケーションの種類] で [ウェブ アプリケーション] を選択します。

   2. [承認済みの JavaScript 生成元] に、以下を追加します。

      • http://localhost
      • http://localhost:5000
      • https://PROJECT_ID.firebaseapp.com
      • https://PROJECT_ID.web.app

   3. [承認済みのリダイレクト URI] には、以下を追加します。

      • https://PROJECT_ID.firebaseapp.com/__/auth/handler
      • https://PROJECT_ID.web.app/__/auth/handler

   4. OAuth クライアントを保存します。

5. 新しい OAuth クライアント ID とクライアント シークレットをクリップボードにコピーします。

6. Firebase コンソールで [Authentication] セクションを開きます。

7. [ログイン方法] タブで [Google ログイン] プロバイダを開き、作成して Google Cloud コンソールからコピーしたウェブサーバーのクライアント ID とシークレットを貼り付けます。[保存] をクリックします。

%APP_NAME% は、ユーザーがメールアドレスとパスワードを使用して登録したときに送信できる確認メール用のメール テンプレートにどのように指定されるのですか？

2022 年 12 月以前は、メール テンプレートの %APP_NAME% に、Android アプリが Firebase プロジェクトに登録されるたびに自動的にプロビジョニングされた OAuth ブランド名が入力されていました。現在は、Google ログインが有効になっている場合にのみ OAuth ブランドがプロビジョニングされるため、%APP_NAME% を判別する方法は次のとおりです。

• OAuth ブランド名が使用可能な場合、メール テンプレートの %APP_NAME% が OAuth ブランド名になります（2022 年 12 月より前の動作と同様）。

• OAuth ブランド名を使用できない場合、メール テンプレートの %APP_NAME% は次のように決定されます。

  • ウェブアプリの場合、%APP_NAME% はデフォルトの Firebase Hosting サイト名になります（.firebaseapp.com と .web.app の前の値、通常は Firebase プロジェクト ID）。

  • モバイルアプリの場合:

    • リクエストに Android パッケージ名または iOS バンドル ID が存在する場合、%APP_NAME% は Play Store または App Store（それぞれ）で使用されるアプリ名になります。

    • それ以外の場合、%APP_NAME% はデフォルトの Firebase Hosting サイト名になります（.firebaseapp.com と .web.app の前の値、通常は Firebase プロジェクト ID）。

  デフォルトの Firebase Hosting サイト名の検索が失敗した場合、最終的な代替手段は Firebase プロジェクト ID を %APP_NAME% として使用することです。