Perguntas frequentes e solução de problemas de autenticação

Como posso evitar o abuso de SMS ao usar a autenticação por telefone?

Para ajudar a proteger seu projeto contra bombeamento de tráfego de SMS e abuso de API, siga estas etapas:

Considere a possibilidade de definir uma política de região de SMS

1. Confira o uso de SMS regional.

   Procure regiões com um número muito alto de SMS enviado e um número muito baixo (ou zero) de SMS verificado. A proporção de verificados/enviados é sua taxa de sucesso. As taxas de sucesso normalmente estão na faixa de 70 a 85%, porque o SMS não é um protocolo de entrega garantido e algumas regiões podem sofrer abuso. Taxas de sucesso inferiores a 50% implicam muitas mensagens SMS enviadas, mas poucos logins bem-sucedidos, que é um indicador comum de usuários de má-fé e bombeamento de tráfego de SMS.

2. Use a política de região de SMS para negar regiões de SMS com baixas taxas de sucesso ou permitir regiões específicas apenas se o app for destinado apenas à distribuição em determinados mercados.

Limitar seus domínios de autenticação autorizados

Use o painel de configurações de autenticação para gerenciar domínios autorizados. O domínio localhost é adicionado por padrão aos domínios de autenticação aprovados para simplificar o desenvolvimento. Considere remover localhost dos domínios autorizados no seu projeto production para impedir que pessoas mal-intencionadas executem código no seu localhost para acessar seu projeto de produção.

Ativar e aplicar App Check

Ative o App Check para ajudar a proteger seu projeto contra abusos de API atestando que as solicitações vêm apenas de aplicativos associados ao seu projeto.

Para usar o App Check com o Firebase Authentication, faça upgrade para Firebase Authentication with Identity Platform.

Lembre-se de que você precisa aplicar o App Check para Authentication no console Firebase (considere monitorar o tráfego antes de aplicar). Além disso, verifique a lista de sites aprovados pelo reCAPTCHA Enterprise para validar se ela contém apenas os sites de produção e se a lista de aplicativos registrados no seu projeto em App Check está precisa.

O App Check ajuda a proteger contra ataques automatizados, declarando que a chamada vem de um dos seus aplicativos registrados. Ele não impede que os usuários usem seu app de maneiras não intencionais (por exemplo, iniciar e nunca concluir os fluxos de login para gerar SMS enviado).

Os números de telefone foram transferidos para uma nova operadora que aceita a autenticação por telefone?

No momento, a portabilidade dos números entre operadoras impede a entrega de todos os SMSs para esses usuários finais. Não há solução alternativa, e o Firebase está trabalhando nesse problema.

No meu app Android, por que estou recebendo o seguinte erro:
Google sign in failed?

Siga as etapas de solução de problemas nestas perguntas frequentes se você estiver recebendo o seguinte erro:

GoogleFragment: Google sign in failed
    com.google.android.gms.common.api.ApiException: 13: Unable to get token.
        at
com.google.android.gms.internal.auth-api.zbay.getSignInCredentialFromIntent(com.google.android.gms:play-services-auth@@20.3.0:6)

1. Verifique se o login do Google está ativado corretamente como um provedor de autenticação:

   1. No console do Firebase, abra a seção Authentication.

   2. Na guia Método de login, desative e reative o método de login do Google (mesmo que ele já esteja ativado):

      1. Abra o método de login do Google, desative-o e clique em Salvar.

      2. Abra novamente o método de login do Google, ative-o e clique em Salvar.

2. Verifique se o app usa o arquivo de configuração atualizado do Firebase (google-services.json).
   Acesse o arquivo de configuração do app.

3. Verifique se você ainda está recebendo o erro. Se estiver, siga para a próxima etapa da solução de problemas.

4. Verifique se os clientes OAuth 2.0 subjacentes necessários estão presentes.

   1. Na página Credenciais do console do Google Cloud, consulte a seção IDs do cliente OAuth 2.0.

   2. Se os clientes OAuth 2.0 não estiverem presentes (e você tiver realizado todas as etapas de solução de problemas acima), entre em contato com o suporte.

No app da minha plataforma da Apple, por que estou recebendo o seguinte erro:
You must specify <clientID> in <GIDConfiguration>?

Siga as etapas de solução de problemas nestas perguntas frequentes se você estiver recebendo o seguinte erro:

You must specify |clientID| in |GIDConfiguration|

1. Verifique se o login do Google está ativado corretamente como um provedor de autenticação:

   1. No console do Firebase, abra a seção Authentication.

   2. Na guia Método de login, desative e reative o método de login do Google (mesmo que ele já esteja ativado):

      1. Abra o método de login do Google, desative-o e clique em Salvar.

      2. Abra novamente o método de login do Google, ative-o e clique em Salvar.

2. Verifique se o app usa o arquivo de configuração atualizado do Firebase (GoogleService-Info.plist).
   Acesse o arquivo de configuração do app.

3. Verifique se você ainda está recebendo o erro. Se estiver, siga para a próxima etapa da solução de problemas.

4. Verifique se os clientes OAuth 2.0 subjacentes necessários estão presentes.

   1. Na página Credenciais do console do Google Cloud, consulte a seção IDs do cliente OAuth 2.0.

   2. Se os clientes OAuth 2.0 não estiverem presentes (e você tiver realizado todas as etapas de solução de problemas acima), entre em contato com o suporte.

No meu app da Web, por que estou recebendo o seguinte erro:
AuthErrorCode.INVALID_OAUTH_CLIENT_ID?

Siga as etapas de solução de problemas nestas perguntas frequentes se você estiver recebendo o seguinte erro:

AuthErrorCode.INVALID_OAUTH_CLIENT_ID

1. Verifique se o login do Google está ativado corretamente como um provedor de autenticação:

   1. No console do Firebase, abra a seção Authentication.

   2. Na guia Método de login, desative e reative o método de login do Google (mesmo que ele já esteja ativado):

      1. Abra o método de login do Google, desative-o e clique em Salvar.

      2. Abra novamente o método de login do Google, ative-o e clique em Salvar.

2. Além disso, na configuração do provedor de login do Google da seção Authentication, verifique se o ID e o secret do cliente OAuth correspondem ao cliente da Web exibido na página Credenciais do console do Google Cloud (consulte a seção IDs do cliente OAuth 2.0).

No meu app da Web, por que o login com redirecionamentos está falhando com o seguinte erro:
This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation?

Siga as etapas de solução de problemas nestas perguntas frequentes se você estiver recebendo o seguinte erro:

This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation.

Esse erro provavelmente é causado porque o domínio de redirecionamento não está listado como um domínio autorizado para o Firebase Authentication ou a chave de API que você usa com o serviço do Firebase Authentication é inválida.

Primeiro, verifique se YOUR_REDIRECT_DOMAIN está na lista de domínios autorizados do projeto do Firebase. Se o domínio de redirecionamento já estiver listado, continue resolvendo o problema de uma chave de API inválida.

Por padrão, o SDK do Firebase Authentication para JavaScript depende da chave de API do seu projeto do Firebase, rotulado como Browser key, e usa essa chave para verificar se um URL de redirecionamento de login é válido de acordo com a lista de domínios autorizados. O Authentication recebe essa chave de API dependendo de como você acessa o SDK do Authentication:

• Se você usar os auxiliares de autenticação fornecidos pelo Hosting para fazer login dos usuários com o SDK do Authentication para JavaScript, o Firebase vai receber automaticamente sua chave de API com o restante da configuração do Firebase todas as vezes que você implantar no Firebase Hosting. Confira se o authDomain no app da Web firebaseConfig está configurado corretamente para usar um dos domínios para esse site de Hosting. Para verificar isso, acesse https://authDomain__/firebase/init.json e confira se o projectId corresponde ao do firebaseConfig.

• Se você hospedar o código de login, use um arquivo __/firebase/init.json para fornecer a configuração do Firebase ao ajudante de redirecionamento do SDK do Authentication para JavaScript auto-hospedado. A chave de API e o projectId listados nesse arquivo de configuração precisam corresponder ao seu app da Web firebaseConfig.

Verifique se essa chave de API não foi excluída: acesse o painel APIs e serviços > Credenciais no console do Google Cloud em que todas as chaves de API do seu projeto estão listadas.

• Se o Browser key não tiver sido excluído, verifique o seguinte:

  • Verifique se a API Firebase Authentication está na lista de APIs permitidas para a chave acessar (saiba mais sobre restrições de API para chaves de API).

  • Se você auto-hospedar o código de login, verifique se a chave de API listada no arquivo __/firebase/init.json corresponde à chave de API no console Google Cloud. Corrija a chave no arquivo, se necessário, e reimplante o app.

  • Se o Browser key foi excluído, o Firebase pode gerar uma nova chave de API para você: no console Firebase, acesse settings > Configurações do projeto, depois, na seção Seus apps, clique no seu app da Web. Essa ação cria automaticamente uma chave de API que pode ser vista na seção Configuração e configuração do SDK do seu app da Web.

  No console Google Cloud, essa nova chave de API não será chamada de Browser key. Ela terá o mesmo nome que o apelido do seu App da Web do Firebase. Se você decidir adicionar restrições de API a essa nova chave, verifique se a API Firebase Authentication está na lista de APIs permitidas.

  Depois que a nova chave de API for criada, siga as etapas abaixo:

  • Se você usa URLs reservados do Hosting, reimplante seu app no Firebase para que ele possa receber automaticamente a nova chave de API com o restante da configuração do Firebase.

  • Se você hospedar o código de login, copie a nova chave de API e adicione-a ao arquivo __/firebase/init.json. Em seguida, reimplante o app.

Como faço para construir manualmente um cliente da Web do OAuth?

1. Abra a página Credenciais do console do Google Cloud.

2. Na parte superior da página, selecione Criar credenciais > ID do cliente OAuth.

3. Se você for solicitado a configurar sua tela de consentimento, siga as instruções exibidas nela e continue com as etapas a seguir nestas perguntas frequentes.

4. Crie o cliente OAuth da Web:

   1. Em Tipo de aplicativo, selecione Aplicativo da Web.

   2. Em Origens JavaScript autorizadas, adicione o seguinte:

      • http://localhost
      • http://localhost:5000
      • https://PROJECT_ID.firebaseapp.com
      • https://PROJECT_ID.web.app

   3. Em URIs de redirecionamento autorizados, adicione o seguinte:

      • https://PROJECT_ID.firebaseapp.com/__/auth/handler
      • https://PROJECT_ID.web.app/__/auth/handler

   4. Salve o cliente OAuth.

5. Copie o novo ID do cliente OAuth e a chave secreta do cliente para a área de transferência.

6. No console do Firebase, abra a seção Authentication.

7. Na guia Método de login, abra o provedor de Login do Google e cole o ID do cliente do servidor da Web e o secret que você acabou de criar e copiar no console do Google Cloud. Clique em Salvar.

Como %APP_NAME% é determinado para o modelo de e-mail de confirmação que pode ser enviado a um usuário quando ele se inscreve usando um endereço de e-mail e uma senha?

Antes de dezembro de 2022, o %APP_NAME% no modelo de e-mail era preenchido com o nome da marca OAuth que era automaticamente provisionada sempre que um app Android era registrado no projeto do Firebase. Agora, como a marca OAuth é provisionada somente quando o Login do Google está ativado, o seguinte descreve como %APP_NAME% é determinado:

• Se o nome da marca OAuth estiver disponível, o %APP_NAME% no modelo de e-mail será o nome da marca OAuth (o mesmo que o comportamento anterior a dezembro de 2022).

• Se o nome da marca OAuth não estiver disponível, confira como o %APP_NAME% no modelo de e-mail é determinado:

  • Para apps da Web, o %APP_NAME% será o nome padrão do site do Firebase Hosting (o valor anterior a .firebaseapp.com e .web.app e geralmente o ID do projeto do Firebase).

  • Para apps para dispositivos móveis:

    • Se o nome do pacote do Android ou o ID do pacote do iOS estiver presente na solicitação, o %APP_NAME% será o nome do app usado na Play Store ou na App Store (respectivamente).

    • Caso contrário, o %APP_NAME% será o nome padrão do site do Firebase Hosting (o valor anterior a .firebaseapp.com e .web.app e, geralmente, o ID do projeto do Firebase).

  Se a pesquisa do nome padrão do site do Firebase Hosting falhar, o substituto final será usar o ID do projeto do Firebase como %APP_NAME%.