Integrare Identity Platform con l'API reCAPTCHA Enterprise

Provider email e password

Le modalità di controllo e applicazione si comportano come segue per i flussi di autenticazione email-password.

Modalità di controllo

Quando imposti l'applicazione dell'email e della password in modalità di controllo, Identity Platform crea nel tuo progetto una o più chiavi reCAPTCHA che vengono utilizzate per valutare il traffico verso le API di Identity Platform senza bloccare alcuna richiesta. Utilizza le metriche emesse durante la modalità di controllo per determinare se è opportuno attivare l'applicazione forzata di reCAPTCHA.

Modalità di applicazione forzata

Quando imposti l'applicazione dell'obbligo di indirizzo email e password in modalità di applicazione, Identity Platform crea una o più chiavi reCAPTCHA nel tuo progetto che vengono utilizzate per valutare il traffico verso le API di Identity Platform. Le richieste dell'API che non includono un token reCAPTCHA vengono rifiutate. Attiva l'applicazione solo dopo aver eseguito la migrazione di tutti i client a un SDK con supporto di reCAPTCHA.

Operatore di telefonia

Le modalità di controllo e applicazione si comportano come segue per i flussi di autenticazione telefonica.

Modalità di controllo

Quando imposti l'applicazione dell'autenticazione telefonica in modalità di controllo, Identity Platform utilizza la protezione dei bot reCAPTCHA per verifica app. Se la richiesta dell'utente supera la valutazione della protezione antibot, Identity Platform invia un messaggio SMS contenente un codice di verifica al telefono dell'utente. Se una richiesta non supera la valutazione della protezione antibot e utilizzi l'SDK client, vengono attivati i metodi di verifica di riserva per completare il flusso di autenticazione telefonica. I metodi di riserva accettati dipendono dalla piattaforma della tua app.

L'SDK client attiva i metodi di verifica di riserva nei seguenti scenari:

• Il token reCAPTCHA è mancante.
• Il token reCAPTCHA non è valido o è scaduto.
• Il token reCAPTCHA non supera la soglia di punteggio.
• reCAPTCHA non è configurato correttamente.

Assicurati che i metodi di verifica di riserva per la piattaforma della tua app siano configurati e pronti per essere attivati dall'SDK client, se necessario.

Modalità di applicazione forzata

Quando imposti l'applicazione dell'autenticazione telefonica in modalità di applicazione forzata, Identity Platform utilizza la protezione reCAPTCHA bot per verifica app. Se la richiesta dell'utente supera la valutazione della protezione antibot, Identity Platform invia un messaggio SMS contenente un codice di verifica al telefono dell'utente. Se la richiesta non supera la valutazione della protezione antibot, Identity Platform la blocca e non invia un messaggio SMS contenente un codice di verifica.

Non è richiesta alcuna verifica di riserva in modalità di applicazione forzata, quindi non devi configurare metodi di verifica aggiuntivi per la tua app. Tuttavia, ti consigliamo di configurare il verificatore reCAPTCHA per le app web per assicurarti che reCAPTCHA 2.0 sia attivato se decidi di impostare la modalità reCAPTCHA della tua app su AUDIT o OFF.

Provider email e password

Per attivare la protezione reCAPTCHA dai bot per i flussi di autenticazione email-password, svolgi i seguenti passaggi:

1. Se non l'hai ancora fatto, abilita l'API reCAPTCHA Enterprise nel tuo progetto.

2. Per attivare la protezione antibot per un progetto, utilizza l'SDK Admin. Il supporto di reCAPTCHA è disponibile nelle versioni 11.7.0 e successive dell'SDK Admin Node.js.

   Ad esempio:

   // Update project config with reCAPTCHA config
   const updateConfigRequest = {
     recaptchaConfig: {
       emailPasswordEnforcementState:  'ENFORCE_MODE',
       managedRules: [{
         endScore: END_SCORE,
         action: 'BLOCK'
       }]
     }
   };
   const updateProjectConfigWithRecaptcha = () => {
     getAuth().projectConfigManager().updateProjectConfig(updateConfigRequest).then((response) => {
       console.log('Updated reCAPTCHA config for project: ', response.recaptchaConfig);
     }).catch((error) => {
       console.log('Error updating project config:', error);
     });
   }
   

   Sostituisci quanto segue:

   • ENFORCE_MODE: la modalità da impostare per l'applicazione forzata dell'autenticazione email-password con reCAPTCHA. I valori validi sono OFF, AUDIT e ENFORCE. Per attivare la protezione antibot, questo parametro deve essere impostato su AUDIT o ENFORCE. Quando attivi la protezione antibot per la prima volta, ti consigliamo di impostare questo parametro su AUDIT e di assicurarti che i flussi di autenticazione siano protetti prima di impostarlo su ENFORCE. Per ulteriori informazioni sul funzionamento delle modalità, consulta Modalità di protezione dai bot di reCAPTCHA.
   • END_SCORE: il valore più basso del punteggio di valutazione della protezione antibot che una richiesta può avere prima di non riuscire. Puoi impostare questo punteggio compreso tra 0.0 e 1.0. Ad esempio, se imposti una soglia di 0.6, reCAPTCHA non accetterà alcuna richiesta con un valore pari o inferiore a 0.6.0.5 Pertanto, più alto è il punteggio impostato, più severe saranno le regole.

   Puoi anche attivare la protezione antibot con lo stesso metodo di configurazione per un tenant utilizzando l'SDK Admin. Per ulteriori informazioni sull'aggiornamento di un tenant, consulta Aggiornare un tenant.

3. Se utilizzi Identity Platform su iOS o Android, devi registrare la tua app dalla Console Firebase:

   • Per iOS, registra ogni ID pacchetto che utilizza Identity Platform
   • Per Android, registra ogni nome del pacchetto Android che utilizza Identity Platform

   Se utilizzi Identity Platform sul web, devi aggiungere un dominio autorizzato per ogni dominio che utilizza reCAPTCHA. Per aggiungere i domini autorizzati:

   1. Nella console Google Cloud, vai alla pagina Identity Platform.

      Vai a Identity Platform

   2. Vai a Impostazioni > Sicurezza.

   3. Fai clic su Aggiungi dominio.

   4. Inserisci il nome di dominio e fai clic su Aggiungi per salvarlo.

   Il provisioning della chiave reCAPTCHA può richiedere diversi minuti.

4. Se hai impostato l'applicazione in modalità di controllo, ti consigliamo di monitorare le metriche di reCAPTCHA per la protezione dai bot per assicurarti che i tuoi flussi siano protetti.

Operatore di telefonia

Per attivare la protezione dai bot di reCAPTCHA per i flussi di autenticazione basati su SMS:

1. Se non l'hai ancora fatto, abilita l'API reCAPTCHA Enterprise nel tuo progetto.

2. Per attivare la protezione antibot per un progetto, utilizza l'SDK Admin. Il supporto di reCAPTCHA è disponibile nelle versioni 12.7.0 e successive dell'SDK Admin Node.js.

   Ad esempio:

   // Update project config with reCAPTCHA config
   const updateProjectConfigRequest = {
     recaptchaConfig: {
       phoneEnforcementState: 'ENFORCE_MODE',
       managedRules: [{ endScore: END_SCORE, action: 'BLOCK' }],
       useSmsBotScore: 'true',
     }
   }
   let projectConfig = await getAuth().projectConfigManager().updateProject(updateProjectConfigRequest);
   

   Sostituisci quanto segue:

   • ENFORCE_MODE: la modalità da impostare per l'applicazione forzata dell'autenticazione telefonica reCAPTCHA. I valori validi sono OFF, AUDIT e ENFORCE. Per attivare la protezione antibot per i flussi basati su SMS, questo parametro deve essere impostato su AUDIT o ENFORCE e useSmsBotScore deve essere impostato su true.

     Quando attivi la protezione antibot per la prima volta, ti consigliamo di impostare questo parametro su AUDIT e di assicurarti che i flussi di autenticazione siano protetti prima di impostarlo su ENFORCE. Per ulteriori informazioni sul funzionamento delle modalità, consulta Modalità di protezione dai bot di reCAPTCHA.

   • END_SCORE: il valore più basso del punteggio di valutazione della protezione antibot che una richiesta può avere prima di non riuscire. Puoi impostare questo punteggio compreso tra 0.0 e 1.0. Ad esempio, se imposti una soglia di 0.6, reCAPTCHA non accetterà alcuna richiesta con un valore pari o inferiore a 0.6.0.5 Pertanto, più alto è il punteggio impostato, più severe saranno le regole.

   Puoi anche attivare la protezione antibot con lo stesso metodo di configurazione per un tenant utilizzando l'SDK Admin. Per ulteriori informazioni sull'aggiornamento di un tenant, consulta Aggiornare un tenant.

3. Se utilizzi Identity Platform su iOS o Android, devi registrare la tua app dalla Console Firebase:

   • Per iOS, registra ogni ID pacchetto che utilizza Identity Platform
   • Per Android, registra ogni nome del pacchetto Android che utilizza Identity Platform

   Se utilizzi Identity Platform sul web, devi aggiungere un dominio autorizzato per ogni dominio che utilizza reCAPTCHA. Per aggiungere i domini autorizzati:

   1. Nella console Google Cloud, vai alla pagina Identity Platform.

      Vai a Identity Platform

   2. Vai a Impostazioni > Sicurezza.

   3. Fai clic su Aggiungi dominio.

   4. Inserisci il nome di dominio e fai clic su Aggiungi per salvarlo.

   Il provisioning della chiave reCAPTCHA può richiedere diversi minuti.

4. Se hai impostato l'applicazione in modalità di controllo, ti consigliamo di monitorare le metriche di reCAPTCHA per la protezione dai bot per assicurarti che i tuoi flussi siano protetti.

Web

1. Esegui l'aggiornamento alla versione più recente dell'SDK web.

   • Il supporto di reCAPTCHA per l'autenticazione tramite email e password nelle app web è disponibile nelle versioni dell'SDK JavaScript 9.20.0 e successive.
   • Il supporto di reCAPTCHA per l'autenticazione telefonica nelle app web è disponibile nelle versioni 11 e successive dell'SDK JavaScript.

   Dopo aver integrato l'SDK web con la tua app, l'SDK recupera automaticamente la configurazione di reCAPTCHA e attiva la protezione per i fornitori che hai configurato.

2. Se necessario, puoi forzare il recupero dell'indicatore reCAPTCHA come segue:

   import { initializeRecaptchaConfig } from '@firebase/auth';
   
   // Initialize Firebase Authentication
   const auth = getAuth();
   initializeRecaptchaConfig(auth)
     .then(() => {
       console.log("Recaptcha Enterprise Config Initialization successful.")
     })
     .catch((error) => {
       console.error("Recaptcha Enterprise Config Initialization failed with " + error)
     });
   

Android

1. Esegui l'aggiornamento alla versione più recente dell'SDK Android. Il supporto di reCAPTCHA per l'autenticazione tramite email e password e l'autenticazione telefonica nelle app per Android è disponibile dalla versione 23.1.0 dell'SDK Android e successive.

   Inoltre, il supporto di reCAPTCHA richiede il livello API 23 (Marshmallow) o versioni successive e Android 6 o versioni successive.

   Dopo aver integrato l'SDK Android con la tua app, l'SDK recupera automaticamente la configurazione di reCAPTCHA e attiva la protezione per i provider che hai configurato.

2. Aggiungi la seguente regola di compilazione alla sezione delle dipendenze del file build.gradle a livello di app:

   implementation 'com.google.android.recaptcha:recaptcha:18.5.1'
   

   Assicurati di utilizzare la versione 18.5.1 o successive dell'SDK reCAPTCHA.

3. Se necessario, puoi forzare il recupero dell'indicatore reCAPTCHA come segue:

   • Kotlin:

   // Initialize Firebase Authentication
   auth = Firebase.auth
   
   auth.initializeRecaptchaConfig().addOnCompleteListener(this) { task ->
       if (task.isSuccessful) {
           Log.d(TAG, "Recaptcha Enterprise Initialization successful.")
       } else {
           Log.w(TAG, "Recaptcha Enterprise Initialization failed.")
       }
   }
   

   • Java:

   // Initialize Firebase Authentication
   auth = FirebaseAuth.getInstance();
   auth.initializeRecaptchaConfig().addOnCompleteListener(
     this, new OnCompleteListener<void>() {
     @Override
     public void onComplete(@NonNull Task<void> task) {
       if (task.isSuccessful()) {
         Log.d(TAG, "Recaptcha Enterprise Initialization successful.");
       } else {
         Log.w(TAG, "Recaptcha Enterprise Initialization failed.");
       }
     }
   });
   

iOS

1. Esegui l'aggiornamento alla versione 11.6.0 o successive dell'SDK per iOS. Dopo aver integrato l'SDK per iOS con la tua app, l'SDK recupera automaticamente la configurazione di reCAPTCHA e attiva la protezione per i fornitori che hai configurato.

2. Per integrare l'SDK reCAPTCHA per iOS nella tua app, consulta Preparare l'ambiente.

3. Assicurati che -ObjC sia elencato nei flag del linker. Vai a Destinazione > Impostazioni di compilazione > Tutte > Collegamento e verifica che in Other Linker Flags sia visualizzato -ObjC.

4. Se necessario, puoi forzare il recupero dell'indicatore reCAPTCHA come segue:

   • Swift:

   // Initialize Firebase Authentication
   try await Auth.auth().initializeRecaptchaConfig()
   

   • Objective-C:

   // Initialize Firebase Authentication
   [[FIRAuth auth] initializeRecaptchaConfigWithCompletion:^(NSError * _Nullable error) {
     // Firebase Authentication initialization finished
   }];
   

Provider email e password

Per attivare l'applicazione di reCAPTCHA per i flussi di autenticazione email-password in un progetto o un tenant, utilizza l'SDK Admin per eseguire quanto segue:

const enforceRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'ENFORCE',
    }]
  }
};

Operatore di telefonia

Per attivare l'applicazione di reCAPTCHA per i flussi di autenticazione basati su SMS in un progetto o un tenant, utilizza l'SDK Admin per eseguire quanto segue:

const enforceRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'ENFORCE',
    useSmsBotScore: 'true'
    }]
  }
};

Provider email e password

Per disattivare la protezione antibot per i flussi di autenticazione email-password, utilizza l'SDK Admin per eseguire il seguente comando:

const disableRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'OFF',
  }
};

Operatore di telefonia

Per disattivare la protezione antibot per i flussi di autenticazione basati su SMS, utilizza l'SDK Admin per eseguire il seguente comando:

const disableRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'OFF',
    useSmsBotScore: 'false'
  }
};