Catch up on everything announced at Firebase Summit, and learn how Firebase can help you accelerate app development and run your app with confidence. Learn More

Evite regras inseguras

Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Use este guia para entender as vulnerabilidades comuns nas configurações das regras de segurança do Firebase, revisar e proteger melhor suas próprias regras e testar suas alterações antes de implantá-las.

Se você receber um alerta de que seus dados não estão devidamente protegidos, revise esses erros comumente cometidos e atualize as regras vulneráveis.

Acesse suas regras de segurança do Firebase

Para visualizar suas regras existentes, use a Firebase CLI ou o Firebase console. Certifique-se de editar suas regras usando o mesmo método, de forma consistente, para evitar sobrescrever atualizações por engano. Se você não tiver certeza se suas regras definidas localmente refletem as atualizações mais recentes, o Firebase console sempre mostra a versão implantada mais recentemente das suas regras de segurança do Firebase.

Para acessar suas regras no Firebase console , selecione seu projeto e navegue até Realtime Database , Cloud Firestore ou Storage . Clique em Regras quando estiver no banco de dados ou bucket de armazenamento correto.

Para acessar suas regras da Firebase CLI, acesse o arquivo de regras indicado em seu arquivo firebase.json .

Entenda as regras de segurança do Firebase

As regras de segurança do Firebase protegem seus dados de usuários mal-intencionados. Ao criar uma instância de banco de dados ou bucket do Cloud Storage no console do Firebase, você pode optar por negar acesso a todos os usuários ( modo bloqueado ) ou conceder acesso a todos os usuários ( modo de teste ). Embora você possa desejar uma configuração mais aberta durante o desenvolvimento, reserve um tempo para configurar corretamente suas regras e proteger seus dados antes de implantar seu aplicativo.

Ao desenvolver seu aplicativo e testar diferentes configurações para suas regras, use um dos emuladores locais do Firebase para executar seu aplicativo em um ambiente de desenvolvimento local.

Cenários comuns com regras inseguras

As regras que você pode ter configurado por padrão ou como você trabalhou inicialmente no desenvolvimento de seu aplicativo devem ser revisadas e atualizadas antes de implantá-lo. Certifique-se de proteger adequadamente os dados de seus usuários, evitando as seguintes armadilhas comuns.

Acesso livre

Ao configurar seu projeto do Firebase, você pode ter definido suas regras para permitir acesso aberto durante o desenvolvimento. Você pode pensar que é a única pessoa que usa seu aplicativo, mas se você o implantou, ele estará disponível na Internet. Se você não estiver autenticando usuários e configurando regras de segurança, qualquer pessoa que adivinhar o ID do seu projeto poderá roubar, modificar ou excluir os dados.

Não recomendado: Acesso de leitura e gravação para todos os usuários.

Cloud Firestore

// Allow read/write access to all users under any conditions
// Warning: **NEVER** use this ruleset in production; it allows
// anyone to overwrite your entire database.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Banco de dados em tempo real

{
  // Allow read/write access to all users under any conditions
  // Warning: **NEVER** use this ruleset in production; it allows
  // anyone to overwrite your entire database.

  "rules": {
    ".read": true,
    ".write": true
  }
}
    

Armazenamento na núvem

// Anyone can read or write to the bucket, even non-users of your app.
// Because it is shared with App Engine, this will also make
// files uploaded via App Engine public.
// Warning: This rule makes every file in your Cloud Storage bucket accessible to any user.
// Apply caution before using it in production, since it means anyone
// can overwrite all your files.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write;
    }
  }
}
    
Solução: Regras que restringem o acesso de leitura e gravação.

Crie regras que façam sentido para sua hierarquia de dados. Uma das soluções comuns para essa insegurança é a segurança baseada no usuário com o Firebase Authentication. Saiba mais sobre como autenticar usuários com regras .

Cloud Firestore

Banco de dados em tempo real

Armazenamento na núvem

Acesso para qualquer usuário autenticado

Às vezes, as regras verificam se um usuário está conectado, mas não restringem ainda mais o acesso com base nessa autenticação. Se uma de suas regras incluir auth != null , confirme se você deseja que qualquer usuário conectado tenha acesso aos dados.

Não recomendado: Qualquer usuário logado tem acesso de leitura e gravação a todo o seu banco de dados.

Cloud Firestore

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow read, write: if request.auth.uid != null;
    }
  }
}

Banco de dados em tempo real

{
  "rules": {
    ".read": "auth.uid !== null",
    ".write": "auth.uid !== null"
  }
}

Armazenamento na núvem

// Only authenticated users can read or write to the bucket
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null;
    }
  }
}
Solução: Acesso restrito usando condições de segurança.

Ao verificar a autenticação, você também pode usar uma das propriedades de autenticação para restringir ainda mais o acesso a usuários específicos para conjuntos de dados específicos. Saiba mais sobre as diferentes propriedades de autenticação .

Cloud Firestore

Banco de dados em tempo real

Armazenamento na núvem

(Realtime Database) Regras herdadas incorretamente

As regras do Realtime Database estão em cascata, com regras em caminhos pai mais superficiais substituindo regras em nós filhos mais profundos. Ao escrever uma regra em um nó filho, lembre-se de que ela só pode conceder privilégios adicionais. Você não pode refinar ou revogar o acesso aos dados em um caminho mais profundo em seu banco de dados.

Não recomendado: Refinando regras em caminhos filho
{
  "rules": {
     "foo": {
        // allows read to /foo/*
        ".read": "data.child('baz').val() === true",
        "bar": {
          /* ignored, since read was allowed already */
          ".read": false
        }
     }
  }
}
Solução: escreva regras em caminhos pai que sejam amplos e conceda privilégios mais específicos em caminhos filho Se suas necessidades de acesso a dados exigirem mais granularidade, mantenha suas regras granulares. Saiba mais sobre as regras do Realtime Database em cascata em Proteja seus dados .

Acesso fechado

Enquanto você desenvolve seu aplicativo, outra abordagem comum é manter seus dados bloqueados. Normalmente, isso significa que você desativou o acesso de leitura e gravação para todos os usuários, da seguinte maneira:

Cloud Firestore

// Deny read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

Banco de dados em tempo real

{
  "rules": {
    ".read": false,
    ".write": false
  }
}
    

Armazenamento na núvem

// Access to files through Cloud Storage is completely disallowed.
// Files may still be accessible through App Engine or Google Cloud Storage APIs.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

Os SDKs Admin do Firebase e o Cloud Functions ainda podem acessar seu banco de dados. Use essas regras quando pretender usar o Cloud Firestore ou o Realtime Database como back-end somente para servidor em conjunto com o SDK Admin do Firebase. Embora seja seguro, você deve testar se os clientes do seu aplicativo podem recuperar dados corretamente.

Saiba mais sobre as regras de segurança do Cloud Firestore e como elas funcionam em Introdução às regras de segurança do Cloud Firestore .

Teste suas regras de segurança do Cloud Firestore

Para verificar o comportamento do seu aplicativo e verificar as configurações das regras de segurança do Cloud Firestore, use o Firebase Emulator . Use o emulador do Cloud Firestore para executar e automatizar testes de unidade em um ambiente local antes de implantar qualquer alteração.

Para validar rapidamente as regras de segurança do Firebase no Firebase console, use o Firebase Rules Simulator .