Integrar Identity Platform con la API reCAPTCHA Enterprise

Proveedor de correo y contraseña

Los modos de auditoría y de cumplimiento se comportan de la siguiente manera en los flujos de autenticación con correo y contraseña.

Modo de auditoría

Cuando configuras la aplicación de la contraseña de correo en el modo de auditoría, Identity Platform crea una o varias claves de reCAPTCHA en tu proyecto que se usan para evaluar el tráfico a las APIs de Identity Platform sin bloquear ninguna solicitud. Usa las métricas que se emiten durante el modo de auditoría para determinar si debes habilitar la aplicación de reCAPTCHA.

Modo obligatorio

Cuando configuras la aplicación de la autenticación con correo y contraseña en el modo de aplicación, Identity Platform crea una o varias claves de reCAPTCHA en tu proyecto que se usan para evaluar el tráfico a las APIs de Identity Platform. Las solicitudes a la API que no incluyan un token de reCAPTCHA se rechazarán. Habilita la medida solo cuando hayas migrado todos tus clientes a un SDK compatible con reCAPTCHA.

Proveedor de servicios telefónicos

Los modos de auditoría y de cumplimiento se comportan de la siguiente manera en los flujos de autenticación por teléfono.

Modo de auditoría

Cuando configuras la autenticación telefónica en modo de auditoría, Identity Platform usa la protección frente a bots de reCAPTCHA para verificar la aplicación. Si la solicitud de un usuario supera la evaluación de fraude de peaje, se envía un código de verificación por SMS. Si la solicitud de un usuario no supera la evaluación de fraude de peaje y estás usando el SDK de cliente, Identity Platform activa métodos de verificación alternativos para completar el flujo de autenticación telefónica. Los métodos alternativos aceptados dependen de la plataforma de tu aplicación.

El SDK de cliente activa los métodos de verificación alternativos en los siguientes casos:

• Falta el token de reCAPTCHA.
• El token de reCAPTCHA no es válido o ha caducado.
• El token de reCAPTCHA no supera el umbral de puntuación.
• reCAPTCHA no está configurado correctamente.

Asegúrate de que los métodos de verificación alternativos de la plataforma de tu aplicación estén configurados y listos para que el SDK del cliente los active si es necesario.

Modo obligatorio

Cuando configuras la autenticación por teléfono en modo obligatorio, Identity Platform usa la protección frente a bots de reCAPTCHA para verificar la aplicación. Si la solicitud de un usuario supera la evaluación de fraude de peaje, se envía un código de verificación por SMS. Si la solicitud de un usuario no supera la evaluación de fraude de peaje, Identity Platform la bloquea y no envía un mensaje SMS con un código de verificación.

En el modo obligatorio no se requiere ninguna verificación alternativa, por lo que no tienes que configurar ningún método de verificación adicional para tu aplicación. Sin embargo, te recomendamos que configures el verificador reCAPTCHA para las aplicaciones web y que te asegures de que reCAPTCHA v2 esté habilitado si decides cambiar el modo de reCAPTCHA de tu aplicación a AUDIT o OFF.

Proveedor de correo y contraseña

Para habilitar la protección contra bots de reCAPTCHA en los flujos de autenticación por correo y contraseña, haz lo siguiente:

1. Si aún no lo has hecho, habilita la API de reCAPTCHA Enterprise en tu proyecto.

2. Para habilitar la protección contra bots en un proyecto, usa el SDK de administrador. reCAPTCHA está disponible en las versiones 11.7.0 y posteriores del SDK de administrador de Node.js.

   Por ejemplo:

   // Update project config with reCAPTCHA config
   const updateConfigRequest = {
     recaptchaConfig: {
       emailPasswordEnforcementState:  'ENFORCE_MODE',
       managedRules: [{
         endScore: END_SCORE,
         action: 'BLOCK'
       }]
     }
   };
   const updateProjectConfigWithRecaptcha = () => {
     getAuth().projectConfigManager().updateProjectConfig(updateConfigRequest).then((response) => {
       console.log('Updated reCAPTCHA config for project: ', response.recaptchaConfig);
     }).catch((error) => {
       console.log('Error updating project config:', error);
     });
   }
   

   Haz los cambios siguientes:

   • ENFORCE_MODE: el modo que quieras definir para la aplicación de la autenticación con correo y contraseña de reCAPTCHA. Los valores válidos son OFF, AUDIT y ENFORCE. Para habilitar la protección de bots, este parámetro debe tener el valor AUDIT o ENFORCE. Cuando habilites la protección contra bots por primera vez, te recomendamos que definas este parámetro como AUDIT y que te asegures de que tus flujos de autenticación estén protegidos antes de definirlo como ENFORCE. Para obtener más información sobre cómo funcionan los modos, consulta Modos de protección de bots de reCAPTCHA.
   • END_SCORE: la puntuación de evaluación de protección de bots más baja que puede tener una solicitud antes de que falle. Puedes definir una puntuación entre 0.0 y 1.0. Por ejemplo, si defines un umbral de 0.6, reCAPTCHA rechazará cualquier solicitud con una puntuación de 0.5 o inferior. Por lo tanto, cuanto más alta sea la puntuación, más estrictas serán las reglas.

   También puedes habilitar la protección contra bots con el mismo método de configuración para un inquilino mediante el SDK de administrador. Para obtener más información sobre cómo actualizar un arrendatario, consulta Actualizar un arrendatario.

3. Si usas Identity Platform en iOS o Android, debes registrar tu aplicación en la consola de Firebase:

   • En iOS, registra cada ID de paquete que utilice Identity Platform.
   • En Android, registra cada nombre de paquete de Android que use Identity Platform.

   Si usas Identity Platform en la Web, debes añadir un dominio autorizado para cada dominio que use reCAPTCHA. Para añadir dominios autorizados, siga estos pasos:

   1. En la Google Cloud consola, ve a la página Identity Platform.

      Ir a Identity Platform

   2. Ve a Ajustes > Seguridad.

   3. Haz clic en Añadir dominio.

   4. Introduce el nombre del dominio y haz clic en Añadir para guardar el dominio.

   El aprovisionamiento de claves de reCAPTCHA puede tardar varios minutos en completarse.

4. Si has configurado el modo de auditoría, te recomendamos que monitorices las métricas de reCAPTCHA para protegerte contra los bots y asegurarte de que tus flujos están protegidos.

Proveedor de servicios telefónicos

Para habilitar la protección frente a bots de reCAPTCHA en los flujos de autenticación basados en SMS, haz lo siguiente:

1. Si aún no lo has hecho, habilita la API de reCAPTCHA Enterprise en tu proyecto.

2. Para habilitar la protección contra bots en un proyecto, usa el SDK de administrador. reCAPTCHA está disponible en las versiones 12.7.0 y posteriores del SDK de administrador de Node.js.

   Por ejemplo:

   // Update project config with reCAPTCHA config
   const updateProjectConfigRequest = {
     recaptchaConfig: {
       phoneEnforcementState: 'ENFORCE_MODE',
       managedRules: [{ endScore: END_SCORE, action: 'BLOCK' }],
       useSmsBotScore: 'true',
     }
   }
   let projectConfig = await getAuth().projectConfigManager().updateProject(updateProjectConfigRequest);
   

   Haz los cambios siguientes:

   • ENFORCE_MODE: el modo que quieras definir para la aplicación de la autenticación telefónica de reCAPTCHA. Los valores válidos son OFF, AUDIT y ENFORCE. Para habilitar la protección contra bots en los flujos basados en SMS, este parámetro debe tener el valor AUDIT o ENFORCE, y useSmsBotScore debe tener el valor true.

     Cuando habilites la protección contra bots por primera vez, te recomendamos que definas este parámetro como AUDIT y que te asegures de que tus flujos de autenticación estén protegidos antes de definirlo como ENFORCE. Para obtener más información sobre cómo funcionan los modos, consulta Modos de protección de bots de reCAPTCHA.

   • END_SCORE: la puntuación de evaluación de protección de bots más baja que puede tener una solicitud antes de que falle. Puedes definir una puntuación entre 0.0 y 1.0. Por ejemplo, si defines un umbral de 0.6, reCAPTCHA rechazará cualquier solicitud con una puntuación de 0.5 o inferior. Por lo tanto, cuanto más alta sea la puntuación, más estrictas serán las reglas.

   También puedes habilitar la protección contra bots con el mismo método de configuración para un inquilino mediante el SDK de administrador. Para obtener más información sobre cómo actualizar un arrendatario, consulta Actualizar un arrendatario.

3. Si usas Identity Platform en iOS o Android, debes registrar tu aplicación en la consola de Firebase:

   • En iOS, registra cada ID de paquete que utilice Identity Platform.
   • En Android, registra cada nombre de paquete de Android que use Identity Platform.

   Si usas Identity Platform en la Web, debes añadir un dominio autorizado para cada dominio que use reCAPTCHA. Para añadir dominios autorizados, sigue estos pasos:

   1. En la Google Cloud consola, ve a la página Identity Platform.

      Ir a Identity Platform

   2. Ve a Ajustes > Seguridad.

   3. Haz clic en Añadir dominio.

   4. Introduce el nombre del dominio y haz clic en Añadir para guardar el dominio.

   El aprovisionamiento de claves de reCAPTCHA puede tardar varios minutos en completarse.

4. Si has configurado el modo de auditoría, te recomendamos que monitorices las métricas de reCAPTCHA para protegerte contra los bots y asegurarte de que tus flujos están protegidos.

Web

1. Actualiza a la versión más reciente del SDK web.

   • reCAPTCHA admite la autenticación con correo electrónico y contraseña en aplicaciones web con las versiones 9.20.0 y posteriores del SDK de JavaScript.
   • reCAPTCHA admite la autenticación por teléfono en aplicaciones web en las versiones 11 y posteriores del SDK de JavaScript.

   Una vez que hayas integrado el SDK web con tu aplicación, el SDK obtendrá automáticamente tu configuración de reCAPTCHA y habilitará la protección de los proveedores que hayas configurado.

2. Si es necesario, puedes forzar la obtención de la señal de reCAPTCHA de la siguiente manera:

   import { initializeRecaptchaConfig } from '@firebase/auth';
   
   // Initialize Firebase Authentication
   const auth = getAuth();
   initializeRecaptchaConfig(auth)
     .then(() => {
       console.log("Recaptcha Enterprise Config Initialization successful.")
     })
     .catch((error) => {
       console.error("Recaptcha Enterprise Config Initialization failed with " + error)
     });
   

Android

1. Actualiza a la versión más reciente del SDK de Android. La compatibilidad de reCAPTCHA con la autenticación por correo electrónico y contraseña, y la autenticación telefónica en aplicaciones Android está disponible en la versión 23.1.0 del SDK de Android y versiones posteriores.

   Además, para usar reCAPTCHA, se necesita el nivel de API 23 (Marshmallow) o una versión posterior, así como Android 6 o una versión posterior.

   Una vez que hayas integrado el SDK de Android en tu aplicación, el SDK obtendrá automáticamente tu configuración de reCAPTCHA y habilitará la protección de los proveedores que hayas configurado.

2. Añade la siguiente regla de compilación a la sección de dependencias de tu archivo build.gradle a nivel de aplicación:

   implementation 'com.google.android.recaptcha:recaptcha:18.5.1'
   

   Asegúrate de usar la versión 18.5.1 o una posterior del SDK de reCAPTCHA.

3. Si es necesario, puedes forzar la obtención de la señal de reCAPTCHA de la siguiente manera:

   • Kotlin:

   // Initialize Firebase Authentication
   auth = Firebase.auth
   
   auth.initializeRecaptchaConfig().addOnCompleteListener(this) { task ->
       if (task.isSuccessful) {
           Log.d(TAG, "Recaptcha Enterprise Initialization successful.")
       } else {
           Log.w(TAG, "Recaptcha Enterprise Initialization failed.")
       }
   }
   

   • Java:

   // Initialize Firebase Authentication
   auth = FirebaseAuth.getInstance();
   auth.initializeRecaptchaConfig().addOnCompleteListener(
     this, new OnCompleteListener<void>() {
     @Override
     public void onComplete(@NonNull Task<void> task) {
       if (task.isSuccessful()) {
         Log.d(TAG, "Recaptcha Enterprise Initialization successful.");
       } else {
         Log.w(TAG, "Recaptcha Enterprise Initialization failed.");
       }
     }
   });
   

iOS

1. Actualiza a la versión 11.6.0 o una posterior del SDK de iOS. Una vez que hayas integrado el SDK de iOS con tu aplicación, el SDK obtendrá automáticamente tu configuración de reCAPTCHA y habilitará la protección de los proveedores que hayas configurado.

2. Para integrar el SDK de reCAPTCHA para iOS en tu aplicación, consulta el artículo sobre cómo preparar tu entorno.

3. Asegúrate de que -ObjC esté en tus marcas de enlazador. Ve a Target (Destino) > Build Settings (Configuración de compilación) > All (Todo) > Linking (Vinculación) y comprueba que Other Linker Flags muestra -ObjC.

4. Si es necesario, puedes forzar la obtención de la señal de reCAPTCHA de la siguiente manera:

   • Swift:

   // Initialize Firebase Authentication
   try await Auth.auth().initializeRecaptchaConfig()
   

   • Objective-C:

   // Initialize Firebase Authentication
   [[FIRAuth auth] initializeRecaptchaConfigWithCompletion:^(NSError * _Nullable error) {
     // Firebase Authentication initialization finished
   }];
   

Proveedor de correo y contraseña

Para habilitar la aplicación de reCAPTCHA en los flujos de autenticación con correo y contraseña de un proyecto o un arrendatario, usa el SDK de administrador para ejecutar lo siguiente:

const enforceRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'ENFORCE',
    }]
  }
};

Proveedor de servicios telefónicos

Para habilitar la aplicación de reCAPTCHA en los flujos de autenticación basados en SMS de un proyecto o un arrendatario, usa el SDK de administrador para ejecutar lo siguiente:

const enforceRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'ENFORCE',
    useSmsBotScore: 'true'
    }]
  }
};

Proveedor de correo y contraseña

Para inhabilitar la protección contra bots en los flujos de autenticación con correo y contraseña, usa el SDK de administrador para ejecutar el siguiente comando:

const disableRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'OFF',
  }
};

Proveedor de servicios telefónicos

Para inhabilitar la protección contra bots en los flujos de autenticación basados en SMS, usa el SDK de administrador para ejecutar el siguiente comando:

const disableRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'OFF',
    useSmsBotScore: 'false'
  }
};