Integra Identity Platform con la API de reCAPTCHA Enterprise

Proveedor de correo electrónico y contraseña

Los modos de auditoría y aplicación se comportan de la siguiente manera para los flujos de autenticación con correo electrónico y contraseña.

Modo de auditoría

Cuando configuras la aplicación de contraseñas por correo electrónico en modo de auditoría, Identity Platform crea una o más claves de reCAPTCHA en tu proyecto que se usan para evaluar el tráfico a las APIs de Identity Platform sin bloquear ninguna solicitud. Usa las métricas que se emiten durante el modo de auditoría para determinar si debes habilitar la aplicación de reCAPTCHA.

Modo de aplicación

Cuando configuras la aplicación de la contraseña por correo electrónico en modo de aplicación, Identity Platform crea una o más claves de reCAPTCHA en tu proyecto que se usan para evaluar el tráfico a las APIs de Identity Platform. Se rechazan las solicitudes a la API que no incluyen un token de reCAPTCHA. Habilita la aplicación forzosa solo después de migrar todos tus clientes a un SDK que admita reCAPTCHA.

Proveedor de telefonía

Los modos de auditoría y aplicación se comportan de la siguiente manera para los flujos de autenticación telefónica.

Modo de auditoría

Cuando configuras la aplicación forzosa de la autenticación telefónica en modo de auditoría, Identity Platform usa la protección contra bots de reCAPTCHA para la verificación de la app. Si la solicitud de un usuario pasa la evaluación de fraude de cargos telefónicos, se envía un código de verificación por SMS. Si la solicitud de un usuario no pasa la evaluación de fraude de cargos telefónicos y usas el SDK de cliente, Identity Platform activa métodos de verificación alternativos para completar el flujo de autenticación telefónica. Los métodos de resguardo aceptados dependen de la plataforma de tu app.

El SDK de cliente activa los métodos de verificación alternativos en las siguientes situaciones:

• Falta el token de reCAPTCHA.
• El token de reCAPTCHA no es válido o venció.
• El token de reCAPTCHA no supera el umbral de puntuación.
• reCAPTCHA no está configurado correctamente.

Asegúrate de que los métodos de verificación alternativos para la plataforma de tu app estén configurados y listos para que el SDK de cliente los active si es necesario.

Modo de aplicación

Cuando configuras la aplicación forzosa de la autenticación telefónica en el modo de aplicación forzosa, Identity Platform usa la protección contra bots de reCAPTCHA para la verificación de la app. Si la solicitud de un usuario pasa la evaluación de fraude de cargos telefónicos, se envía un código de verificación por SMS. Si la solicitud de un usuario no pasa la evaluación de fraude de cargos telefónicos, Identity Platform la bloquea y no envía un mensaje SMS con un código de verificación.

No se requiere ninguna verificación alternativa en el modo de aplicación, por lo que no es necesario que configures ningún método de verificación adicional para tu app. Sin embargo, te recomendamos que configures el verificador de reCAPTCHA para las apps web y te asegures de que reCAPTCHA v2 esté habilitado si decides cambiar el modo de reCAPTCHA de tu app a AUDIT o OFF.

Proveedor de correo electrónico y contraseña

Para habilitar la protección de reCAPTCHA contra bots en los flujos de autenticación con correo electrónico y contraseña, haz lo siguiente:

1. Si aún no lo hiciste, habilita la API de reCAPTCHA Enterprise en tu proyecto.

2. Para habilitar la protección contra bots en un proyecto, usa el SDK de Admin. La compatibilidad con reCAPTCHA está disponible en las versiones 11.7.0 y posteriores del SDK de Admin de Node.js.

   Por ejemplo:

   // Update project config with reCAPTCHA config
   const updateConfigRequest = {
     recaptchaConfig: {
       emailPasswordEnforcementState:  'ENFORCE_MODE',
       managedRules: [{
         endScore: END_SCORE,
         action: 'BLOCK'
       }]
     }
   };
   const updateProjectConfigWithRecaptcha = () => {
     getAuth().projectConfigManager().updateProjectConfig(updateConfigRequest).then((response) => {
       console.log('Updated reCAPTCHA config for project: ', response.recaptchaConfig);
     }).catch((error) => {
       console.log('Error updating project config:', error);
     });
   }
   

   Reemplaza lo siguiente:

   • ENFORCE_MODE: Es el modo que deseas establecer para la aplicación de la autenticación con contraseña y correo electrónico de reCAPTCHA. Los valores válidos son OFF, AUDIT y ENFORCE. Para habilitar la protección contra bots, este parámetro debe establecerse en AUDIT o ENFORCE. Cuando habilites la protección contra bots por primera vez, te recomendamos que establezcas este parámetro en AUDIT y te asegures de que tus flujos de autenticación estén protegidos antes de establecerlo en ENFORCE. Para obtener más información sobre el funcionamiento de los modos, consulta Modos de protección de bots de reCAPTCHA.
   • END_SCORE: Es la puntuación de evaluación de protección contra bots más baja que puede tener una solicitud antes de fallar. Puedes establecer esta puntuación entre 0.0 y 1.0. Por ejemplo, si estableces un umbral de 0.6, reCAPTCHA rechazará cualquier solicitud con un valor de 0.5 o inferior. Por lo tanto, cuanto más alto establezcas la puntuación, más estrictas serán las reglas.

   También puedes habilitar la protección contra bots con el mismo método de configuración para un inquilino a través del SDK de Admin. Para obtener más información sobre cómo actualizar un inquilino, consulta Actualiza un inquilino.

3. Si usas Identity Platform en iOS o Android, debes registrar tu app desde Firebase console:

   • En iOS, registra cada ID de paquete que use Identity Platform.
   • En Android, registra cada nombre de paquete de Android que use Identity Platform

   Si usas Identity Platform en la Web, debes agregar un dominio autorizado para cada dominio que use reCAPTCHA. Para agregar dominios autorizados, haz lo siguiente:

   1. En la consola de Google Cloud , ve a la página de Identity Platform.

      Ir a Identity Platform

   2. Ve a Configuración > Seguridad.

   3. Haz clic en Add domain.

   4. Ingresa el nombre de dominio y haz clic en Agregar para guardar el dominio.

   El aprovisionamiento de la clave de reCAPTCHA puede tardar varios minutos en completarse.

4. Si configuraste la aplicación de la política en modo de auditoría, te recomendamos que supervises las métricas de reCAPTCHA para la protección contra bots y te asegures de que tus flujos estén protegidos.

Proveedor de telefonía

Para habilitar la protección contra bots de reCAPTCHA en los flujos de autenticación basados en SMS, haz lo siguiente:

1. Si aún no lo hiciste, habilita la API de reCAPTCHA Enterprise en tu proyecto.

2. Para habilitar la protección contra bots en un proyecto, usa el SDK de Admin. La compatibilidad con reCAPTCHA está disponible en las versiones 12.7.0 y posteriores del SDK de Admin de Node.js.

   Por ejemplo:

   // Update project config with reCAPTCHA config
   const updateProjectConfigRequest = {
     recaptchaConfig: {
       phoneEnforcementState: 'ENFORCE_MODE',
       managedRules: [{ endScore: END_SCORE, action: 'BLOCK' }],
       useSmsBotScore: 'true',
     }
   }
   let projectConfig = await getAuth().projectConfigManager().updateProject(updateProjectConfigRequest);
   

   Reemplaza lo siguiente:

   • ENFORCE_MODE: Es el modo que deseas establecer para la aplicación de la autenticación telefónica de reCAPTCHA. Los valores válidos son OFF, AUDIT y ENFORCE. Para habilitar la protección contra bots en flujos basados en SMS, este parámetro debe establecerse en AUDIT o ENFORCE, y useSmsBotScore debe establecerse en true.

     Cuando habilites la protección contra bots por primera vez, te recomendamos que establezcas este parámetro en AUDIT y te asegures de que tus flujos de autenticación estén protegidos antes de establecerlo en ENFORCE. Para obtener más información sobre el funcionamiento de los modos, consulta Modos de protección de bots de reCAPTCHA.

   • END_SCORE: Es la puntuación de evaluación de protección contra bots más baja que puede tener una solicitud antes de fallar. Puedes establecer esta puntuación entre 0.0 y 1.0. Por ejemplo, si estableces un umbral de 0.6, reCAPTCHA rechazará cualquier solicitud con un valor de 0.5 o inferior. Por lo tanto, cuanto más alto establezcas la puntuación, más estrictas serán las reglas.

   También puedes habilitar la protección contra bots con el mismo método de configuración para un inquilino a través del SDK de Admin. Para obtener más información sobre cómo actualizar un arrendatario, consulta Actualiza un arrendatario.

3. Si usas Identity Platform en iOS o Android, debes registrar tu app desde Firebase console:

   • En iOS, registra cada ID de paquete que use Identity Platform.
   • En Android, registra cada nombre de paquete de Android que use Identity Platform

   Si usas Identity Platform en la Web, debes agregar un dominio autorizado para cada dominio que use reCAPTCHA. Para agregar dominios autorizados, haz lo siguiente:

   1. En la consola de Google Cloud , ve a la página de Identity Platform.

      Ir a Identity Platform

   2. Ve a Configuración > Seguridad.

   3. Haz clic en Add domain.

   4. Ingresa el nombre de dominio y haz clic en Agregar para guardar el dominio.

   El aprovisionamiento de la clave de reCAPTCHA puede tardar varios minutos en completarse.

4. Si configuraste la aplicación de la política en modo de auditoría, te recomendamos que supervises las métricas de reCAPTCHA para la protección contra bots y te asegures de que tus flujos estén protegidos.

Web

1. Actualiza a la versión más reciente del SDK web.

   • La compatibilidad con reCAPTCHA para la autenticación por correo electrónico y contraseña en apps web está disponible en las versiones 9.20.0 y posteriores del SDK de JavaScript.
   • La compatibilidad con reCAPTCHA para la autenticación por teléfono en apps web está disponible en las versiones 11 y posteriores del SDK de JavaScript.

   Después de integrar el SDK web en tu app, este recupera automáticamente tu configuración de reCAPTCHA y habilita la protección para los proveedores que configuraste.

2. Si es necesario, puedes forzar la recuperación del indicador de reCAPTCHA de la siguiente manera:

   import { initializeRecaptchaConfig } from '@firebase/auth';
   
   // Initialize Firebase Authentication
   const auth = getAuth();
   initializeRecaptchaConfig(auth)
     .then(() => {
       console.log("Recaptcha Enterprise Config Initialization successful.")
     })
     .catch((error) => {
       console.error("Recaptcha Enterprise Config Initialization failed with " + error)
     });
   

Android

1. Actualiza a la versión más reciente del SDK de Android. La compatibilidad con reCAPTCHA para la autenticación por correo electrónico y contraseña, y la autenticación por teléfono en apps para Android está disponible en la versión 23.1.0 y posteriores del SDK de Android.

   Además, la compatibilidad con reCAPTCHA requiere el nivel de API 23 (Marshmallow) o superior, y Android 6 o superior.

   Después de integrar el SDK de Android en tu app, el SDK recupera automáticamente tu configuración de reCAPTCHA y habilita la protección para los proveedores que configuraste.

2. Agrega la siguiente regla de compilación a la sección de dependencias de tu archivo build.gradle a nivel de la app:

   implementation 'com.google.android.recaptcha:recaptcha:18.5.1'
   

   Asegúrate de usar la versión 18.5.1 o posterior del SDK de reCAPTCHA.

3. Si es necesario, puedes forzar la recuperación del indicador de reCAPTCHA de la siguiente manera:

   • Kotlin:

   // Initialize Firebase Authentication
   auth = Firebase.auth
   
   auth.initializeRecaptchaConfig().addOnCompleteListener(this) { task ->
       if (task.isSuccessful) {
           Log.d(TAG, "Recaptcha Enterprise Initialization successful.")
       } else {
           Log.w(TAG, "Recaptcha Enterprise Initialization failed.")
       }
   }
   

   • Java:

   // Initialize Firebase Authentication
   auth = FirebaseAuth.getInstance();
   auth.initializeRecaptchaConfig().addOnCompleteListener(
     this, new OnCompleteListener<void>() {
     @Override
     public void onComplete(@NonNull Task<void> task) {
       if (task.isSuccessful()) {
         Log.d(TAG, "Recaptcha Enterprise Initialization successful.");
       } else {
         Log.w(TAG, "Recaptcha Enterprise Initialization failed.");
       }
     }
   });
   

iOS

1. Actualiza a la versión 11.6.0 o posterior del SDK de iOS. Después de integrar el SDK para iOS en tu app, el SDK recupera automáticamente tu configuración de reCAPTCHA y habilita la protección para los proveedores que configuraste.

2. Para integrar el SDK de reCAPTCHA para iOS en tu app, consulta Cómo preparar tu entorno.

3. Asegúrate de que -ObjC aparezca en tus marcas de vinculadores. Navega a Objetivo > Configuración de compilación > Todas > Vinculación y verifica que Other Linker Flags muestre -ObjC.

4. Si es necesario, puedes forzar la recuperación del indicador de reCAPTCHA de la siguiente manera:

   • Swift:

   // Initialize Firebase Authentication
   try await Auth.auth().initializeRecaptchaConfig()
   

   • Objective-C:

   // Initialize Firebase Authentication
   [[FIRAuth auth] initializeRecaptchaConfigWithCompletion:^(NSError * _Nullable error) {
     // Firebase Authentication initialization finished
   }];
   

Proveedor de correo electrónico y contraseña

Para habilitar la aplicación de reCAPTCHA en los flujos de autenticación por correo electrónico y contraseña en un proyecto o inquilino, usa el SDK de Admin para ejecutar lo siguiente:

const enforceRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'ENFORCE',
    }]
  }
};

Proveedor de telefonía

Para habilitar la aplicación de reCAPTCHA en los flujos de autenticación basados en SMS en un proyecto o inquilino, usa el SDK de Admin para ejecutar lo siguiente:

const enforceRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'ENFORCE',
    useSmsBotScore: 'true'
    }]
  }
};

Proveedor de correo electrónico y contraseña

Para inhabilitar la protección contra bots en los flujos de autenticación con correo electrónico y contraseña, usa el SDK de Admin para ejecutar el siguiente comando:

const disableRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'OFF',
  }
};

Proveedor de telefonía

Para inhabilitar la protección contra bots en los flujos de autenticación basados en SMS, usa el SDK de Admin para ejecutar el siguiente comando:

const disableRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'OFF',
    useSmsBotScore: 'false'
  }
};