Starting November 2, 2026, Firebase App Check enforcement will be required to use Firebase AI Logic. Learn more.

Model updates:

Gemini 4 Argon is now available to use with Firebase AI Logic! Learn more.
Gemini 2.5 models are limited to projects that actively used them in the past. For the Agent Platform Gemini API, these models will shut down for all projects in October 2026. To avoid service disruptions, update to a newer model (like gemini-4-argon, gemini-3.8-flash, or gemini-nano-banana-2.1). Any stable Gemini Live API 2.5 models are not impacted. Learn more.

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איך מונעים שימוש לרעה ב-Gemini API באמצעות Firebase App Check

כששולחים קריאה ל-API ישירות מאפליקציה לנייד או מאתר, ה-API חשוף לניצול לרעה על ידי לקוחות לא מורשים. אם רוצים לקרוא ל-Gemini API ישירות מהאפליקציה לנייד או מהאתר, צריך להגן עליו מפני ניצול לרעה באמצעות Firebase AI Logic ואכיפת Firebase App Check. כשמפעילים את App Check, המערכת מאפשרת רק בקשות נכנסות שאומתו כמגיעות מהאפליקציה בפועל ו/או ממכשיר שלא בוצעו בו שינויים.

דילוג להוראות ההגדרה

‫Firebase AI Logic מספק שער proxy שמאפשר לשלב עם Firebase App Check ולהגן על Gemini API כשמתבצעת קריאה ישירה על ידי אפליקציות לנייד ולאינטרנט. כשאוכפים את App Check ב-Firebase AI Logic, זה עוזר להגן גם על Gemini Developer API וגם על Agent Platform Gemini API (formerly Vertex AI).

‫App Check ל-Firebase AI Logic תומך גם בהגנה מפני הפעלה חוזרת, כלומר אפשר להשתמש באסימון App Check רק פעם אחת.

חשוב מאוד לאכוף את App Check בשלב מוקדם ככל האפשר – במיוחד לפני שמעבירים את האפליקציה למערכת ציבורית לניהול קוד מקור, משתפים את האפליקציה או הופכים אותה לזמינה באופן ציבורי.

החל מתחילת יולי 2026, במהלך תהליך ההגדרה במסוף Firebase, מערכת Firebase אוכפת באופן אוטומטי את App Check ב-Firebase AI Logic. אם כבר הגדרתם את Firebase AI Logic בפרויקט Firebase לפני תחילת יולי 2026 (או אם App Check לא נאכף מסיבה אחרת), אתם יכולים לאכוף את App Check בעצמכם. כדי להתחיל בקלות או לצורך פיתוח מקומי, אפשר לאכוף את App Check ואז להגדיר את ספק האימות לצורכי ניפוי באגים של App Check.

החל מ-2 בנובמבר 2026, Firebase App Check תהיה חובה כדי להשתמש ב-Firebase AI Logic. מידע נוסף

סיכום כללי של אופן הפעולה של App Check

באמצעות App Check, מכשירים שמריצים את האפליקציה שלכם משתמשים בספק אימות של האפליקציה או המכשיר שמאמת אחד או את שני הדברים הבאים:

הבקשות מגיעות מהאפליקציה האותנטית שלכם
הבקשות מגיעות ממכשיר אותנטי שלא בוצעו בו שינויים

האימות הזה מצורף לכל בקשה שהאפליקציה שולחת באמצעות SDK של Firebase AI Logic. כשאוכפים את App Check, בקשות מלקוחות בלי אימות תקין יידחו, וגם כל בקשה שמגיעה מאפליקציה או מפלטפורמה שלא אישרתם.

כשמגדירים את App Check, כדאי להוסיף הגנה מפני הפעלה חוזרת, שמאפשרת להשתמש באסימונים של App Check פעם אחת בלבד. האפשרות הזו מציעה הגנה משופרת מעבר להגנה הבסיסית, ומאפשרת לכם להגדיר רמת הגנה שמתאימה לאפליקציה ולתרחישי השימוש שלכם.

במסמכי התיעוד של App Check תוכלו למצוא מידע מפורט על App Check, כולל תיאורים של ספקי אימות והמכסות והמגבלות הרלוונטיות.

הגדר את App Check

ההוראות הבאות מותאמות להגדרת אכיפה של Firebase App Check ב-Firebase AI Logic.

שלב 1: אכיפת App Check

החל מתחילת יולי 2026, במהלך תהליך ההגדרה המודרך במסוף Firebase, מערכת Firebase אוכפת באופן אוטומטי את Firebase App Check עבור Firebase AI Logic כדי להגן על Gemini API.

עם זאת, אם כבר הגדרתם את Firebase AI Logic בפרויקט Firebase לפני תחילת יולי 2026 (או אם App Check לא נאכף מסיבה אחרת), אתם יכולים לאכוף את App Check בעצמכם לפי ההוראות הבאות.

בודקים אם App Check כבר נאכף עבור Firebase AI Logic.
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > APIs.
2. מוצאים את השורה של Firebase AI Logic. אם כתוב Unenforced, המשיכו לשלב הבא.
לוחצים על השורה של Firebase AI Logic כדי לראות את תרשימי המדדים. מתחת לתרשימים האלה, לוחצים על הגדרה.
במסך הראשון של תיבת הדו-שיח (Baseline protection), בוחרים באפשרות Enforced ולוחצים על Continue.
במסך הבא (Replay protection), בוחרים באפשרות Disabled ולוחצים על Continue.

הערה: כדי להגדיר הגנה מפני התקפות Replay, צריך להפעיל באפליקציה טוקנים לשימוש מוגבל. אחרי שמפעילים אותם, אפשר לחזור למסוף Firebase ולהגדיר את אפשרויות ההגנה מפני התקפות Replay.
במסך האחרון, בודקים את השיקולים לאכיפת App Check כדי לוודא שאתם מוכנים לאכוף את App Check. אם אתם מוכנים, לחצו על המשך.

לא צריך לרשום את האפליקציות אם רוצים לאכוף רק את App Check ומשתמשים רק בספק אימות לצורכי ניפוי באגים עם Firebase AI Logic באפליקציה בשלב טרום-ייצור. עם זאת, כשהאפליקציה מוכנה להפצה למשתמשי קצה, צריך לרשום את האפליקציות כחלק מההגדרה של ספק אימות בסביבת ייצור (כמו App Attest,‏ Play Integrity או reCAPTCHA Enterprise).

שלב 2: הגדרת ספק אימות לצורכי ניפוי באגים לפיתוח מקומי

בסביבת פיתוח מקומית, אפשר להגדיר את App Check ספק האימות לצורכי ניפוי באגים ועדיין להמשיך לאכוף את App Check ב-Firebase AI Logic.

Swift

כך משתמשים בספק לצורכי ניפוי באגים כשמריצים את האפליקציה בסימולטור באופן אינטראקטיבי (לדוגמה, במהלך פיתוח מקומי):

בפרויקט Xcode, מייבאים את FirebaseAppCheck ומפעילים את App Check באמצעות ה-factory של ספק אימות לצורכי ניפוי באגים לפני שמגדירים את Firebase.

import SwiftUI
import FirebaseCore
import FirebaseAppCheck

@main
struct YourApp: App {
  init() {
    let providerFactory = AppCheckDebugProviderFactory()
    AppCheck.setAppCheckProviderFactory(providerFactory)
    FirebaseApp.configure()
  }

  var body: some Scene {
    WindowGroup {
      NavigationView {
        ContentView()
      }
    }
  }
}

איך מקבלים טוקן לניפוי באגים:
1. מפעילים את האפליקציה בסימולטור או במכשיר הבדיקה.
2. פותחים את מסוף Xcode ומחפשים את אסימון ניפוי הבאגים של App Check. לדוגמה:
```
<Warning> [AppCheckCore][I-GAC004001] App Check debug token: '123a4567-b89c-12d3-e456-789012345678'.
```
3. מעתיקים את הטוקן (לדוגמה, 123a4567-b89c-12d3-e456-789012345678).
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

פרטים על ספק האימות לצורכי ניפוי באגים (כולל איך לקבל אסימון חדש לניפוי באגים) זמינים במסמכי התיעוד הרשמיים של App Check.

Kotlin

כך משתמשים בספק לצורכי ניפוי באגים כשמריצים את האפליקציה באמולטור באופן אינטראקטיבי (לדוגמה, במהלך פיתוח מקומי):

בגרסת ה-build לניפוי באגים, מגדירים את App Check כך שישתמש ב-factory של ספק האימות לצורכי ניפוי באגים:
```
Firebase.initialize(context = this)
Firebase.appCheck.installAppCheckProviderFactory(
    DebugAppCheckProviderFactory.getInstance(),
)MainActivity.kt
```
איך מקבלים טוקן לניפוי באגים:
1. מפעילים את האפליקציה באמולטור או במכשיר הבדיקה.
2. מחפשים את אסימון ניפוי הבאגים App Check ביומנים. לדוגמה:
```
D DebugAppCheckProvider: Enter this debug secret into the allow list
in the Firebase Console for your project: 123a4567-b89c-12d3-e456-789012345678
```
3. מעתיקים את הטוקן (לדוגמה, 123a4567-b89c-12d3-e456-789012345678).
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

Java

בגרסת ה-build לניפוי באגים, מגדירים את App Check כך שישתמש ב-factory של ספק האימות לצורכי ניפוי באגים:

FirebaseApp.initializeApp(/*context=*/ this);
FirebaseAppCheck firebaseAppCheck = FirebaseAppCheck.getInstance();
firebaseAppCheck.installAppCheckProviderFactory(
        DebugAppCheckProviderFactory.getInstance());MainActivity.java

איך מקבלים טוקן לניפוי באגים:
1. מפעילים את האפליקציה באמולטור או במכשיר הבדיקה.
2. מחפשים את אסימון ניפוי הבאגים App Check ביומנים. לדוגמה:
```
D DebugAppCheckProvider: Enter this debug secret into the allow list
in the Firebase Console for your project: 123a4567-b89c-12d3-e456-789012345678
```
3. מעתיקים את הטוקן (לדוגמה, 123a4567-b89c-12d3-e456-789012345678).
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

Web

כך משתמשים בספק האימות לצורכי ניפוי באגים כשמפעילים את האפליקציה מ-localhost באופן אינטראקטיבי (לדוגמה, במהלך פיתוח מקומי):

בגרסת ה-build לניפוי באגים, מפעילים את מצב ניפוי הבאגים על ידי הגדרת self.FIREBASE_APPCHECK_DEBUG_TOKEN ל-true לפני שמפעילים את App Check. לדוגמה:
```
self.FIREBASE_APPCHECK_DEBUG_TOKEN = true;
initializeAppCheck(app, { /* App Check options */ });
```
נכנסים לאפליקציית האינטרנט באופן מקומי ופותחים את הכלים למפתחים בדפדפן. במסוף ניפוי הבאגים יופיע אסימון ניפוי באגים:
```
AppCheck debug token: "123a4567-b89c-12d3-e456-789012345678".
You will need to safelist it in the Firebase console for it to work.
```
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

Dart

iOS+‎

מפעילים את App Check עם ספק האימות לצורכי ניפוי באגים מיד אחרי שמפעילים את אפליקציית Firebase:

import 'package:flutter/material.dart';
import 'package:firebase_core/firebase_core.dart';

// Import the firebase_app_check plugin
import 'package:firebase_app_check/firebase_app_check.dart';

Future<void> main() async {
  WidgetsFlutterBinding.ensureInitialized();
  await Firebase.initializeApp();
  await FirebaseAppCheck.instance.activate(
    // Set appleProvider to `AppleProvider.debug`
    appleProvider: AppleProvider.debug,
  );
  runApp(App());
}

מפעילים את הרישום ביומן של ניפוי הבאגים בפרויקט Xcode:
1. פותחים את Product > Scheme > Edit scheme (מוצר > סכימה > עריכת הסכימה).
2. בתפריט השמאלי, לוחצים על Run (הפעלה) ואז על הכרטיסייה Arguments (ארגומנטים).
3. בקטע Arguments Passed on Launch, מוסיפים את הערך -FIRDebugEnabled.
איך מקבלים טוקן לניפוי באגים:
1. פותחים את ios/Runner.xcworkspace באמצעות Xcode ומפעילים את האפליקציה בסימולטור או במכשיר הבדיקה.
2. פותחים את מסוף Xcode ומחפשים את אסימון ניפוי הבאגים של App Check. לדוגמה:
```
<Warning> [AppCheckCore][I-GAC004001] App Check debug token: '123a4567-b89c-12d3-e456-789012345678'.
```
3. מעתיקים את הטוקן (לדוגמה, 123a4567-b89c-12d3-e456-789012345678).
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

Android

מפעילים את App Check עם ספק האימות לצורכי ניפוי באגים מיד אחרי שמפעילים את אפליקציית Firebase:

import 'package:flutter/material.dart';
import 'package:firebase_core/firebase_core.dart';

// Import the firebase_app_check plugin
import 'package:firebase_app_check/firebase_app_check.dart';

Future<void> main() async {
  WidgetsFlutterBinding.ensureInitialized();
  await Firebase.initializeApp();
  await FirebaseAppCheck.instance.activate(
    // Set androidProvider to `AndroidProvider.debug`
    androidProvider: AndroidProvider.debug,
  );
  runApp(App());
}

איך מקבלים טוקן לניפוי באגים:
1. מפעילים את האפליקציה באמולטור או במכשיר הבדיקה.
2. מחפשים את אסימון ניפוי הבאגים App Check ביומנים. לדוגמה:
```
D DebugAppCheckProvider: Enter this debug secret into the allow list
in the Firebase Console for your project: 123a4567-b89c-12d3-e456-789012345678
```
3. מעתיקים את הטוקן (לדוגמה, 123a4567-b89c-12d3-e456-789012345678).
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

אינטרנט

בקובץ web/index.html, מפעילים את מצב ניפוי הבאגים על ידי הגדרת self.FIREBASE_APPCHECK_DEBUG_TOKEN ל-true:
```
<body>
  <script>
    self.FIREBASE_APPCHECK_DEBUG_TOKEN = true;
  </script>

  ...

</body>
```
מפעילים את אפליקציית האינטרנט באופן מקומי ופותחים את הכלים למפתחים בדפדפן. במסוף ניפוי הבאגים, יופיע טוקן לניפוי באגים:
```
AppCheck debug token: "123a4567-b89c-12d3-e456-789012345678".
You will need to safelist it in the Firebase console for it to work.
```
האסימון הזה מאוחסן באופן מקומי בדפדפן, והוא ישמש בכל פעם שתשתמשו באפליקציה באותו דפדפן ובאותו מחשב. אם רוצים להשתמש באסימון בדפדפן אחר או במכונה אחרת, מגדירים את self.FIREBASE_APPCHECK_DEBUG_TOKEN למחרוזת האסימון במקום true.
רושמים את אסימון ניפוי הבאגים ב-App Check:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי לרשום את אסימון ניפוי הבאגים.

Unity

במסוף Firebase, יוצרים טוקן לניפוי באגים:
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > Apps.
2. מוצאים את האפליקציה, לוחצים על סמל האפשרויות הנוספות () ובוחרים באפשרות ניהול אסימוני ניפוי באגים.
3. פועלים לפי ההוראות במסך כדי ליצור אסימון ניפוי באגים חדש.

בקוד האתחול של האפליקציה, מוסיפים את הקוד הבא:

using Firebase.AppCheck;

void InitializeFirebase() {
  // Configure the Debug Provider factory with your debug token.
  DebugAppCheckProviderFactory.Instance.SetDebugToken("YOUR_DEBUG_TOKEN");

  // Set App Check to use the debug provider factory
  FirebaseAppCheck.SetAppCheckProviderFactory(
    DebugAppCheckProviderFactory.Instance);

  // Proceed to initialize Firebase as normal
}

שלב 3: הגדרת App Check למשתמשי קצה ולסביבת הייצור

כשתהיו מוכנים להשיק את האפליקציה למשתמשי קצה, תצטרכו לרשום את האפליקציות ולהגדיר ספק אימות לסביבת הייצור (כמו App Attest,‏ Play Integrity או reCAPTCHA Enterprise).

בוחרים ספק אימות ייצור ופועלים לפי הוראות ההטמעה בקישורים הבאים:
- פלטפורמות של אפל: DeviceCheck או App Attest או reCAPTCHA Enterprise
- ‫Android: Play Integrity או reCAPTCHA Enterprise
- באינטרנט: reCAPTCHA Enterprise
- Flutter: תומך בכל הספקים שלמעלה, כולל reCAPTCHA Enterprise
  . אם אתם משתמשים בגרסאות פלאגין ישנות יותר, עיינו בהערה לגבי יצירת מופע מיוחד בהמשך עבור Flutter ו-App Check.
- ‫Unity: תומך בכל הספקים שצוינו למעלה (בקרוב תהיה תמיכה ב-reCAPTCHA Enterprise)
שימו לב: אם אף אחד מספקי האימות האלה לא מתאים לצרכים שלכם, אתם יכולים להטמיע ספק בהתאמה אישית שמשתמש בספק אימות של צד שלישי או בשיטות אימות משלכם.
(מומלץ) כדי לשפר את ההגנה, מוסיפים הגנה מפני הפעלה חוזרת, כלומר אפשר להשתמש באסימון App Check רק פעם אחת.

אם משתמשים בגרסאות פלאגין ישנות יותר, צריך ליצור מופע מיוחד ל-Flutter

כדי לראות תוכן וקוד שספציפיים לספק, לוחצים על הספק Gemini API בדף הזה.

צריך להשתמש במופע המיוחד הזה רק אם האפליקציה משתמשת בפלאגין של Flutter firebase_ai בגרסה 3.11.0 ומטה (BoM בגרסה 4.12.0 ומטה). אם באפליקציה שלכם מותקנת גרסה חדשה יותר של הפלאגין, אין צורך בהפעלה המיוחדת הזו.

אם אוכפים את App Check, באפליקציות Flutter שמשתמשות בגרסאות פלאגין ישנות יותר, צריך להעביר באופן מפורש את App Check במהלך יצירת המופע, באופן הבא:


// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  // For Flutter plugin v3.11.0 or lower (BoM v4.12.0 or lower), pass in App Check explicitly.
  appCheck: FirebaseAppCheck.instance,
  useLimitedUseAppCheckTokens: true,
);

// ...

שיפור ההגנה באמצעות הוספת הגנה מפני הפעלה חוזרת

מומלץ להשתמש בגרסאות העדכניות ביותר של ה-SDK, אבל כדי להשתמש בהגנה מפני הפעלה חוזרת, צריך לוודא שמשתמשים לפחות באחת מהגרסאות הבאות:
פלטפורמות של אפל מגרסה 12.2.0 ואילך | Android BoM מגרסה 34.14.0 ואילך (App Check מגרסה 19.1.0 ואילך) | אינטרנט מגרסה 12.14.0 ואילך | Flutter מגרסה 4.15.0 ואילך (App Check מגרסה 4.10.0 ואילך) | Unity מגרסה 13.12.0 ואילך

כברירת מחדל, App Check משתמש בטוקנים לסשן עם אורך חיים (TTL) שניתן להגדרה בין 30 דקות ל-7 ימים. הטוקנים האלה לסשנים נשמרים במטמון על ידי ה-SDK של App Check, נשלחים יחד עם בקשות מהאפליקציה שלכם, ואפשר להשתמש בהם שוב עד שתוקף ה-TTL שלהם פג. שימוש בטוקנים לסשן נחשב להגנה בסיסית.

עם זאת, אתם יכולים לשפר את ההגנה מעבר להגנה הבסיסית הזו על ידי אכיפת הגנה מפני התקפות Replay, שמשתמשת במקום זאת בטוקנים לשימוש מוגבל. כשמפעילים את ההגנה מפני התקפות Replay, קורים הדברים הבאים:

‫App Check יחסום בקשות אל Firebase AI Logic שמשתמשות בטוקנים לסשנים. במקום זאת, App Check יאשר בקשה ל-Firebase AI Logic רק אם היא משתמשת בטוקן חדש לשימוש מוגבל.
אחרי שהטוקן לשימוש מוגבל מאומת, הוא נצרך כך שאפשר להשתמש בו רק פעם אחת, וכך נמנעות מתקפות מסוג Replay.
‫SDK של App Check יוצר טוקן חדש לשימוש מוגבל לכל בקשה. חשוב לזכור שהתהליך הזה יכול להשפיע על הבקשות שלכם, כי הוא מוסיף זמן אחזור ולפעמים גם עלות (בהתאם לספק האימות).

הגדרה ואכיפה של הגנה מפני הפעלה חוזרת

כדי לראות תוכן וקוד שספציפיים לספק, לוחצים על הספק Gemini API בדף הזה.

כך מגדירים ואוכפים הגנה מפני הפעלה חוזרת:

אם עדיין לא עשיתם את זה, הגדירו את App Check לפי ההוראות שמופיעות למעלה בדף הזה.

מפעילים את השימוש בטוקנים לשימוש מוגבל.

באפליקציה, במהלך יצירת המופע, מגדירים את הפרמטר useLimitedUseAppCheckTokens לערך true:

Swift


// ...

// During instantiation, enable usage of limited-use tokens.
let ai = FirebaseAI.firebaseAI(
  backend: .googleAI(),
  useLimitedUseAppCheckTokens: true
)

// ...

Kotlin


// ...

// During instantiation, enable usage of limited-use tokens.
val ai = Firebase.ai(
  backend = GenerativeBackend.googleAI(),
  useLimitedUseAppCheckTokens = true
)

// ...

Java


// ...

// During instantiation, enable usage of limited-use tokens.
FirebaseAI ai = FirebaseAI.getInstance(
  /* backend: */ GenerativeBackend.googleAI(),
  /* useLimitedUseAppCheckTokens: */ true
);

// ...

Web


// ...

// During instantiation, enable usage of limited-use tokens.
const ai = getAI(firebaseApp, {
  backend: new GoogleAIBackend(),
  useLimitedUseAppCheckTokens: true
});

// ...

Dart


// ...

// During instantiation, enable usage of limited-use tokens
final ai = await FirebaseAI.googleAI(
  useLimitedUseAppCheckTokens: true,
);

// ...

Unity

// ...

// During instantiation, enable usage of limited-use tokens
var ai = FirebaseAI.GetInstance(
  useLimitedUseAppCheckTokens: true
);

// ...

אכיפת הגנה מפני הפעלה חוזרת.
1. בבסיס הקוד של האפליקציה, מוודאים שהפעלתם את השימוש בטוקנים לשימוש מוגבל (ראו את השלב הקודם).
2. במסוף Firebase, נכנסים לקטע Security (אבטחה) > App Check.
3. הרחבת תצוגת המדדים של Firebase AI Logic.
4. מוודאים שהאפשרות Baseline protection מוגדרת כ-Enforced ולוחצים על Continue.
5. בקטע Replay protection, בוחרים באפשרות Unenforced (monitoring only)‎ או Enforced.
  
  כדי להחליט מתי לאכוף הגנה מפני הפעלה חוזרת, כדאי להביא בחשבון את הנקודות הבאות:
  - מומלץ לעקוב אחרי הבקשות אם סביר להניח שמספר משמעותי של משתמשים משתמשים בגרסאות קודמות של האפליקציה, בלי שהשימוש בטוקנים לשימוש מוגבל מופעל. אם תאכפו את ההגנה מפני הפעלה חוזרת באופן מיידי, בקשות מהמשתמשים האלה ייחסמו.
  - אפשר לעקוב באופן ספציפי אחרי המדד Unverified: Reused token, שהוא מספר הבקשות שיש להן אסימון שכבר נעשה בו שימוש בבקשה קודמת. אפשר לעקוב אחרי המדד הזה במסוף Firebase (עוברים אל Security‏ > App Check‏ > הכרטיסייה APIs).
    
    אם חלק משמעותי מהבקשות האחרונות נכללות בקטגוריה הזו, כדי לא להפריע למשתמשים, כדאי להמתין עם אכיפת ההגנה מפני התקפות Replay עד שיותר משתמשים יעדכנו לגרסה של האפליקציה שמשתמשת בטוקנים לשימוש מוגבל.

הערה: חשוב לשים לב לנקודות הבאות אם אתם רק מפעילים את השימוש בטוקנים לשימוש מוגבל, ולא אוכפים הגנה מפני התקפות Replay:

לטוקנים לשימוש מוגבל יש TTL של 5 דקות בלבד, ואי אפשר לשנות את ה-TTL (בניגוד לטוקנים לסשן). כשלא אוכפים הגנה מפני התקפות Replay, טוקנים לשימוש מוגבל דומים לטוקנים לסשן, כי אפשר להשתמש בהם שוב עד שתוקף ה-TTL שלהם פג.
למרות שהתוקף של טוקנים לשימוש מוגבל הוא 5 דקות, ה-SDK עדיין ייצור טוקן חדש לכל בקשה. בנוסף, ערכות ה-SDK לא שומרות במטמון טוקנים לשימוש מוגבל.
כשההגנה מפני הפעלה חוזרת לא נאכפת, App Check לא יחסום בקשות אל Firebase AI Logic שמשתמשות בטוקנים תקינים לסשן.

איך Firebase AI Logic משתלב עם App Check

כדי להשתמש בערכות ה-SDK של Firebase AI Logic, צריך להפעיל את ממשק ה-API של Firebase AI Logic (firebasevertexai.googleapis.com) בפרויקט ב-Firebase. הסיבה לכך היא שהבקשות שנשלחות על ידי ערכות ה-SDK של Firebase AI Logic נשלחות קודם לשרת של Firebase AI Logic, שפועל כשער proxy שבו מתבצע האימות של Firebase App Check לפני שהבקשה יכולה להמשיך אל Gemini API ולגשת למודלים של Gemini.

שאלות נפוצות ופתרון בעיות

שאלות נפוצות ופתרון בעיות או קודי שגיאה נוספים שקשורים ל-Firebase AI Logic.

האם צריך לאכוף את App Check בכל הגרסאות של האפליקציה?

צריך לאכוף את App Check בכל הגרסאות של האפליקציה שמשתמשות ב-Firebase AI Logic.

חשוב מאוד לאכוף את App Check מוקדם ככל האפשר, במיוחד לפני שמעבירים את האפליקציה למערכת ציבורית לניהול קוד מקור, משתפים את האפליקציה או הופכים אותה לזמינה לכולם.

אם תטמיעו את App Check בבסיס הקוד של האפליקציה כבר עכשיו, כל הגרסאות של האפליקציה יוכלו לשלוח אסימוני App Check תקינים. בקשה שלא נשלח בה טוקן תקין נחשבת לא מאומתת, והיא תיחסם כשהמדיניות App Check תיאכף.

אם כבר פרסמתם למשתמשי הקצה גרסה של האפליקציה שלא מוטמע בה App Check, עיינו בשאלות הנפוצות בנושא הטמעה ואכיפה של App Check באפליקציה שכבר פורסמה.

איך מטמיעים ואוכפים את App Check באפליקציה שכבר פורסמה?

בגרסאות של האפליקציה שלא הוטמע בהן App Check, בקשות ל-Firebase AI Logic מהגרסאות האלה לא כוללות אסימוני App Check תקינים ונחשבות כלא מאומתות. הבקשות האלה ייחסמו כשהמדיניות App Check תיאכף ב-Firebase AI Logic.

ההוראות הבאות יעזרו לכם להעביר את האפליקציה כדי שתוכלו לאכוף את App Check בלי לשבש את השירות באפליקציה שכבר פורסמה ואין בה App Check.

מטמיעים באפליקציה ספק אימות בסביבת ייצור בהקדם האפשרי.
- פלטפורמות של אפל: DeviceCheck או App Attest או reCAPTCHA Enterprise
- ‫Android: Play Integrity או reCAPTCHA Enterprise
- באינטרנט: reCAPTCHA Enterprise
- Flutter: תומך בכל הספקים שצוינו למעלה, כולל reCAPTCHA Enterprise
- ‫Unity: תומך בכל הספקים שצוינו למעלה (בקרוב תהיה תמיכה ב-reCAPTCHA Enterprise)
הערה: כשמטמיעים את App Check, כדאי להפעיל את השימוש בטוקנים לשימוש מוגבל כדי שתהיה לכם אפשרות להשתמש בהמשך בהגנה משופרת באמצעות הגנה מפני התקפות Replay, כלומר אפשר להשתמש בטוקן App Check רק פעם אחת.
עוקבים אחרי הבקשות מהאפליקציה כדי להחליט מתי בטוח לאכוף את App Check.

לדוגמה, אם כמעט כל הבקשות האחרונות מגיעות מלקוחות מאומתים, כדאי לשקול לאכוף את App Check.
אכיפה של App Check עבור Firebase AI Logic.

אזהרה: אם לא תאכפו את App Check ב-Firebase AI Logic עד 2 בנובמבר 2026, הוא ייאכף באופן אוטומטי. מידע נוסף
בפיתוח מקומי, כשאוכפים את App Check, אפשר להגדיר את App Check ספק האימות לצורכי ניפוי באגים ולהמשיך לאכוף את App Check עבור Firebase AI Logic.

שגיאה 403: `PERMISSION_DENIED: To access this model, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check`

אם קיבלתם את השגיאה 403 - PERMISSION_DENIED עם ההודעה To access this model, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check, סימן שהבקשה שלכם לא כוללת אסימון App Check תקין, ואתם מנסים לגשת למודל שמשתמשים בו לרעה לעיתים קרובות.

זיהינו כמה מודלים גנרטיביים שגורמים זדוניים משתמשים בהם לרעה לעיתים קרובות.

בגלל שלא אכפת לך את App Check ב-Firebase AI Logic, הפרויקט שלך חשוף לניצול לרעה של המודלים האלה. כדי להגן על המפתחים, מערכת Firebase חוסמת את הגישה למודלים האלה, אלא אם הבקשה כוללת אסימון App Check תקין (כלומר, App Check נאכף ב-Firebase AI Logic).

אם אתם רוצים לגשת למודל שהחזיר את השגיאה, בצעו את הפעולות הבאות:

מגדירים את App Check עבור Firebase AI Logic. לפיתוח מקומי, חשוב להגדיר את App Check ספק ניפוי הבאגים.

אכיפת App Check היא קריטית כדי להגן על המודלים של Gemini API ו-Gemini מפני ניצול לרעה, וצריך לאכוף אותה כדי לפתור את השגיאה הזו.
שולחים מחדש את הבקשה מהאפליקציה אל Firebase AI Logic.

הבקשה הזו תשלח אסימון App Check תקין, ולא תקבלו יותר את השגיאה 403 - PERMISSION_DENIED.
לפני שמשיקים את האפליקציה למשתמשי קצה, צריך להגדיר ספק אימות לסביבת הייצור (כמו App Attest,‏ Play Integrity או reCAPTCHA Enterprise) כדי שמשתמשי הקצה יוכלו לגשת לתכונה מבוססת-AI כשאוכפים את App Check.

שגיאה 403: `PERMISSION_DENIED: Firebase AI Logic has been deactivated in this project. To resume using Firebase AI Logic, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check`

אם קיבלתם שגיאת 403 - PERMISSION_DENIED עם ההודעה Firebase AI Logic has been deactivated in this project. To resume using Firebase AI Logic, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check, סימן שהפרויקט שלכם ב-Firebase זוהה כלא פעיל, ואין לכם אכיפה של App Check ב-Firebase AI Logic.

"פרויקטים לא פעילים" הם פרויקטים שבהם Firebase AI Logic מופעל, אבל לא נעשה שימוש לאחרונה ב-Firebase AI Logic.

מכיוון שלא אכפתת את App Check עבור Firebase AI Logic, הפרויקט שלך חשוף לניצול לרעה של Gemini API. כדי להגן על הפרויקט, מערכת Firebase השביתה את השימוש ב-Firebase AI Logic עד לאכיפת App Check ב-Firebase AI Logic.

כשתרצו להתחיל להשתמש שוב ב-Firebase AI Logic, בצעו את הפעולות הבאות:

מגדירים את App Check עבור Firebase AI Logic. לפיתוח מקומי, חשוב להגדיר את App Check ספק ניפוי הבאגים.

אכיפת App Check היא קריטית כדי להגן על המודלים של Gemini API ו-Gemini מפני ניצול לרעה, וצריך לאכוף אותה כדי לפתור את השגיאה הזו.
שולחים מחדש את הבקשה מהאפליקציה אל Firebase AI Logic.

הבקשה הזו תשלח טוקן App Check תקין, ולא תקבלו יותר את השגיאה 403 - PERMISSION_DENIED.
אם כבר אוכפים את App Check ועדיין מקבלים את השגיאה הזו, צריך לבדוק אם ההגנה מפני הפעלה חוזרת מופעלת ב-Firebase AI Logic (כולל במצב "מעקב בלבד").

כשההגנה מפני התקפות חזרה מופעלת, רק טוקנים לשימוש מוגבל נחשבים כמאומתים ב-Firebase AI Logic. טוקנים רגילים לסשן לא פותרים את השגיאה הזו. אפשר להפעיל באפליקציה טוקנים לשימוש מוגבל, או להשבית את ההגנה מפני מתקפות Replay ב-Firebase AI Logic, לשלוח מחדש בקשה ולהמתין כיום לפני שמפעילים שוב את ההגנה מפני מתקפות Replay (הפעילות בפרויקט נבדקת מחדש מדי יום).
לפני שמשיקים את האפליקציה למשתמשי קצה, צריך להגדיר ספק אימות בסביבת הייצור (כמו App Attest,‏ Play Integrity או reCAPTCHA Enterprise) כדי שמשתמשי הקצה יוכלו לגשת לתכונת ה-AI כשאוכפים את App Check.

אכיפת App Check בלי ספק אימות בסביבת הייצור (ספק אימות לצורכי ניפוי באגים בלבד)

אפשר לאכוף את App Check עבור Firebase AI Logic בלי לרשום את האפליקציה אצל ספק אימות בייצור. במקום זאת, אפשר להגדיר את App Check ספק ניפוי הבאגים. ההגדרה הזו שימושית לפיתוח מקומי או אם אתם רק מתחילים להשתמש ב-Firebase AI Logic או מנסים אותו.

למעלה בדף הזה מופיעות הוראות מותאמות להגדרת App Check ב-Firebase AI Logic, כולל אכיפת App Check והגדרת ספק האימות לצורכי ניפוי באגים של App Check.

ביטול האכיפה של App Check (לא מומלץ בכלל)

אזהרה: מומלץ מאוד לא לבטל את האכיפה של App Check ב-Firebase AI Logic. כשלא אוכפים את App Check ב-Firebase AI Logic, ה-Gemini API חשוף לניצול לרעה.

עם זאת, אם בוחרים לא לאכוף את App Check, חשוב מאוד לאכוף אותו שוב – במיוחד לפני שמעבירים את האפליקציה למערכת בקרת קוד מקור שזמינה לכולם, משתפים את האפליקציה או הופכים אותה לזמינה לכולם.

אם אתם מבטלים את האכיפה של App Check כי אתם רק מתחילים להשתמש ב-Firebase AI Logic או מנסים אותו, כדאי מאוד להגדיר את ספק האימות לצורכי ניפוי באגים לפיתוח מקומי במקום לבטל את האכיפה של App Check.

החל מ-2 בנובמבר 2026, כדי להשתמש ב-Firebase AI Logic צריך לאכוף את Firebase App Check, ולא תהיה אפשרות לבטל את האכיפה. מידע נוסף

צריך לבדוק אם App Check נאכף עבור Firebase AI Logic.
1. במסוף Firebase, נכנסים לכרטיסייה Security ‏ > App Check ‏ > APIs.
2. מוצאים את השורה של Firebase AI Logic. אם כתוב Enforced, המשיכו לשלב הבא.
לוחצים על השורה של Firebase AI Logic כדי לראות את תרשימי המדדים. מתחת לתרשימים האלה, לוחצים על הגדרה.
במסך הראשון של תיבת הדו-שיח (Baseline protection), בוחרים באפשרות Unenforced (monitoring only) ולוחצים על Continue.
במסך הבא (Replay protection), בוחרים באפשרות Disabled ולוחצים על Continue.
במסך האחרון, לוחצים על המשך כדי לבטל את האכיפה של App Check.

כשלא אוכפים את App Check ב-Firebase AI Logic, ה-Gemini API חשוף לניצול לרעה.
חשוב לוודא שאוכפים שוב את App Check, במיוחד לפני שמעבירים את האפליקציה למערכת בקרת קוד מקור שזמינה לציבור, משתפים את האפליקציה או הופכים אותה לזמינה לציבור.

איך מונעים שימוש לרעה ב-Gemini API באמצעות Firebase App Check קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

סיכום כללי של אופן הפעולה של App Check

הגדר את App Check

שלב 1: אכיפת App Check

שלב 2: הגדרת ספק אימות לצורכי ניפוי באגים לפיתוח מקומי

Swift

Kotlin

Java

Web

Dart

iOS+‎

Android

אינטרנט

Unity

שלב 3: הגדרת App Check למשתמשי קצה ולסביבת הייצור

שיפור ההגנה באמצעות הוספת הגנה מפני הפעלה חוזרת

הגדרה ואכיפה של הגנה מפני הפעלה חוזרת

Swift

Kotlin

Java

Web

Dart

Unity

איך Firebase AI Logic משתלב עם App Check

שאלות נפוצות ופתרון בעיות

האם צריך לאכוף את App Check בכל הגרסאות של האפליקציה?

איך מטמיעים ואוכפים את App Check באפליקציה שכבר פורסמה?

שגיאה 403: PERMISSION_DENIED: To access this model, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check

שגיאה 403: PERMISSION_DENIED: Firebase AI Logic has been deactivated in this project. To resume using Firebase AI Logic, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check

אכיפת App Check בלי ספק אימות בסביבת הייצור (ספק אימות לצורכי ניפוי באגים בלבד)

ביטול האכיפה של App Check (לא מומלץ בכלל)

איך מונעים שימוש לרעה ב-Gemini API באמצעות Firebase App Check

שגיאה 403: `PERMISSION_DENIED: To access this model, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check`

שגיאה 403: `PERMISSION_DENIED: Firebase AI Logic has been deactivated in this project. To resume using Firebase AI Logic, you must enforce Firebase App Check. Learn more: https://firebase.google.com/docs/ai-logic/app-check`