Integra Identity Platform con l'API reCAPTCHA Enterprise

Provider email-password

Le modalità di controllo e applicazione forzata si comportano come segue per i flussi di autenticazione con email e password.

Modalità di audit

Quando imposti l'applicazione della password via email sulla modalità di controllo, Identity Platform crea una o più chiavi reCAPTCHA nel tuo progetto che vengono utilizzate per valutare il traffico verso le API Identity Platform senza bloccare alcuna richiesta. Utilizza le metriche emesse durante la modalità di controllo per determinare se devi abilitare l'applicazione forzata di reCAPTCHA.

Modalità di applicazione forzata

Quando imposti l'applicazione della password via email sulla modalità di applicazione, Identity Platform crea una o più chiavi reCAPTCHA nel tuo progetto che vengono utilizzate per valutare il traffico verso le API Identity Platform. Le richieste API che non includono un token reCAPTCHA vengono rifiutate. Attiva l'applicazione solo dopo aver eseguito la migrazione di tutti i client a un SDK con supporto reCAPTCHA.

Operatore di telefonia

Le modalità di controllo e applicazione forzata si comportano come segue per i flussi di autenticazione telefonica.

Modalità di audit

Quando imposti l'applicazione forzata dell'autenticazione telefonica sulla modalità di controllo, Identity Platform utilizza la protezione dai bot reCAPTCHA perverifica appp. Se la richiesta di un utente supera la valutazione della frode tariffaria, viene inviato un codice di verifica via SMS. Se la richiesta di un utente non supera la valutazione della frode tariffaria e utilizzi l'SDK client, Identity Platform attiva metodi di verifica di riserva per completare il flusso di autenticazione telefonica. I metodi di riserva accettati dipendono dalla piattaforma della tua app.

L'SDK client attiva i metodi di verifica di riserva negli scenari seguenti:

• Il token reCAPTCHA è mancante.
• Il token reCAPTCHA non è valido o è scaduto.
• Il token reCAPTCHA non supera la soglia del punteggio.
• reCAPTCHA non è configurato correttamente.

Assicurati che i metodi di verifica di riserva per la piattaforma della tua app siano configurati e pronti per essere attivati dall'SDK client, se necessario.

Modalità di applicazione forzata

Quando imposti l'applicazione forzata dell'autenticazione telefonica sulla modalità di applicazione forzata, Identity Platform utilizza la protezione dai bot reCAPTCHA per verifica app. Se la richiesta di un utente supera la valutazione della frode tariffaria, viene inviato un codice di verifica via SMS. Se la richiesta di un utente non supera la valutazione della frode tariffaria, Identity Platform blocca la richiesta e non invia un messaggio SMS contenente un codice di verifica.

In modalità di applicazione forzata non è richiesta alcuna verifica di riserva, quindi non devi configurare metodi di verifica aggiuntivi per la tua app. Tuttavia, ti consigliamo di configurare il programma di verifica reCAPTCHA per le app web per assicurarti che reCAPTCHA v2 sia abilitato se decidi di impostare la modalità reCAPTCHA della tua app su AUDIT o OFF.

Provider email-password

Per attivare la protezione dai bot reCAPTCHA per i flussi di autenticazione tramite email e password, procedi nel seguente modo:

1. Se non l'hai ancora fatto, attiva l'API reCAPTCHA Enterprise nel tuo progetto.

2. Per attivare la protezione dai bot per un progetto, utilizza l'SDK Admin. Il supporto di reCAPTCHA è disponibile nelle versioni 11.7.0 e successive dell'SDK Admin per Node.js.

   Ad esempio:

   // Update project config with reCAPTCHA config
   const updateConfigRequest = {
     recaptchaConfig: {
       emailPasswordEnforcementState:  'ENFORCE_MODE',
       managedRules: [{
         endScore: END_SCORE,
         action: 'BLOCK'
       }]
     }
   };
   const updateProjectConfigWithRecaptcha = () => {
     getAuth().projectConfigManager().updateProjectConfig(updateConfigRequest).then((response) => {
       console.log('Updated reCAPTCHA config for project: ', response.recaptchaConfig);
     }).catch((error) => {
       console.log('Error updating project config:', error);
     });
   }
   

   Sostituisci quanto segue:

   • ENFORCE_MODE: la modalità che vuoi impostare per l'applicazione forzata dell'autenticazione email/password reCAPTCHA. I valori validi sono OFF, AUDIT e ENFORCE. Per attivare la protezione dai bot, questo parametro deve essere impostato su AUDIT o ENFORCE. Quando attivi la protezione dai bot per la prima volta, ti consigliamo di impostare questo parametro su AUDIT e di assicurarti che i tuoi flussi di autenticazione siano protetti prima di impostarlo su ENFORCE. Per ulteriori informazioni sul funzionamento delle modalità, consulta Modalità di protezione dai bot di reCAPTCHA.
   • END_SCORE: il punteggio di valutazione più basso per la protezione dai bot che una richiesta può avere prima di non riuscire. Puoi impostare questo punteggio tra 0.0 e 1.0. Ad esempio, se imposti una soglia di 0.6, reCAPTCHA non supererà qualsiasi richiesta con un valore di 0.5 o inferiore. Pertanto, più alto è il punteggio impostato, più rigide saranno le regole.

   Puoi anche attivare la protezione dai bot con lo stesso metodo di configurazione per un tenant utilizzando l'SDK Admin. Per ulteriori informazioni sull'aggiornamento di un tenant, vedi Aggiornare un tenant.

3. Se utilizzi Identity Platform su iOS o Android, devi registrare la tua app dalla console Firebase:

   • Per iOS, registra ogni ID pacchetto che utilizza Identity Platform
   • Per Android, registra ogni nome di pacchetto Android che utilizza Identity Platform

   Se utilizzi Identity Platform sul web, devi aggiungere un dominio autorizzato per ogni dominio che utilizza reCAPTCHA. Per aggiungere domini autorizzati:

   1. Nella console Google Cloud , vai alla pagina Identity Platform.

      Vai a Identity Platform

   2. Vai a Impostazioni > Sicurezza.

   3. Fai clic su Aggiungi dominio.

   4. Inserisci il nome del dominio e fai clic su Aggiungi per salvare il dominio.

   Il provisioning della chiave reCAPTCHA può richiedere diversi minuti.

4. Se hai impostato l'applicazione sulla modalità Controllo, ti consigliamo di monitorare le metriche reCAPTCHA per la protezione dai bot per assicurarti che i tuoi flussi siano protetti.

Operatore di telefonia

Per attivare la protezione dai bot reCAPTCHA per i flussi di autenticazione basati su SMS:

1. Se non l'hai ancora fatto, attiva l'API reCAPTCHA Enterprise nel tuo progetto.

2. Per attivare la protezione dai bot per un progetto, utilizza l'Admin SDK. Il supporto di reCAPTCHA è disponibile nelle versioni 12.7.0 e successive dell'Admin SDK per Node.js.

   Ad esempio:

   // Update project config with reCAPTCHA config
   const updateProjectConfigRequest = {
     recaptchaConfig: {
       phoneEnforcementState: 'ENFORCE_MODE',
       managedRules: [{ endScore: END_SCORE, action: 'BLOCK' }],
       useSmsBotScore: 'true',
     }
   }
   let projectConfig = await getAuth().projectConfigManager().updateProject(updateProjectConfigRequest);
   

   Sostituisci quanto segue:

   • ENFORCE_MODE: la modalità che vuoi impostare per l'applicazione forzata dell'autenticazione telefonica reCAPTCHA. I valori validi sono OFF, AUDIT e ENFORCE. Per attivare la protezione dai bot per i flussi basati su SMS, questo parametro deve essere impostato su AUDIT o ENFORCE e useSmsBotScore deve essere impostato su true.

     Quando attivi la protezione dai bot per la prima volta, ti consigliamo di impostare questo parametro su AUDIT e di assicurarti che i flussi di autenticazione siano protetti prima di impostarlo su ENFORCE. Per ulteriori informazioni sul funzionamento delle modalità, consulta Modalità di protezione dai bot di reCAPTCHA.

   • END_SCORE: il punteggio di valutazione più basso per la protezione dai bot che una richiesta può avere prima di non riuscire. Puoi impostare questo punteggio tra 0.0 e 1.0. Ad esempio, se imposti una soglia di 0.6, reCAPTCHA non supererà qualsiasi richiesta con un valore di 0.5 o inferiore. Pertanto, più alto è il punteggio impostato, più rigide saranno le regole.

   Puoi anche attivare la protezione dai bot con lo stesso metodo di configurazione per un tenant utilizzando l'SDK Admin. Per ulteriori informazioni sull'aggiornamento di un tenant, consulta Aggiornare un tenant.

3. Se utilizzi Identity Platform su iOS o Android, devi registrare la tua app dalla console Firebase:

   • Per iOS, registra ogni ID pacchetto che utilizza Identity Platform
   • Per Android, registra ogni nome di pacchetto Android che utilizza Identity Platform

   Se utilizzi Identity Platform sul web, devi aggiungere un dominio autorizzato per ogni dominio che utilizza reCAPTCHA. Per aggiungere domini autorizzati:

   1. Nella console Google Cloud , vai alla pagina Identity Platform.

      Vai a Identity Platform

   2. Vai a Impostazioni > Sicurezza.

   3. Fai clic su Aggiungi dominio.

   4. Inserisci il nome del dominio e fai clic su Aggiungi per salvare il dominio.

   Il provisioning della chiave reCAPTCHA può richiedere diversi minuti.

4. Se hai impostato l'applicazione sulla modalità Controllo, ti consigliamo di monitorare le metriche reCAPTCHA per la protezione dai bot per assicurarti che i tuoi flussi siano protetti.

Web

1. Esegui l'aggiornamento alla versione più recente dell'SDK web.

   • Il supporto di reCAPTCHA per l'autenticazione tramite email e password nelle app web è disponibile nelle versioni 9.20.0 e successive dell'SDK JavaScript.
   • Il supporto di reCAPTCHA per l'autenticazione telefonica nelle app web è disponibile nelle versioni 11 e successive dell'SDK JavaScript.

   Dopo aver integrato l'SDK web con la tua app, l'SDK recupera automaticamente la configurazione di reCAPTCHA e attiva la protezione per i provider che hai configurato.

2. Se necessario, puoi forzare il recupero del segnale reCAPTCHA come segue:

   import { initializeRecaptchaConfig } from '@firebase/auth';
   
   // Initialize Firebase Authentication
   const auth = getAuth();
   initializeRecaptchaConfig(auth)
     .then(() => {
       console.log("Recaptcha Enterprise Config Initialization successful.")
     })
     .catch((error) => {
       console.error("Recaptcha Enterprise Config Initialization failed with " + error)
     });
   

Android

1. Esegui l'aggiornamento all'ultima versione dell'SDK Android. Il supporto di reCAPTCHA per l'autenticazione tramite email e password e l'autenticazione tramite telefono nelle app per Android è disponibile nell'SDK Android versione 23.1.0 e successive.

   Inoltre, il supporto di reCAPTCHA richiede il livello API 23 (Marshmallow) o versioni successive e Android 6 o versioni successive.

   Dopo aver integrato l'SDK Android con la tua app, l'SDK recupera automaticamente la configurazione di reCAPTCHA e attiva la protezione per i provider che hai configurato.

2. Aggiungi la seguente regola di build alla sezione delle dipendenze del file build.gradlea livello di app:

   implementation 'com.google.android.recaptcha:recaptcha:18.5.1'
   

   Assicurati di utilizzare la versione 18.5.1 o successive dell'SDK reCAPTCHA.

3. Se necessario, puoi forzare il recupero del segnale reCAPTCHA come segue:

   • Kotlin:

   // Initialize Firebase Authentication
   auth = Firebase.auth
   
   auth.initializeRecaptchaConfig().addOnCompleteListener(this) { task ->
       if (task.isSuccessful) {
           Log.d(TAG, "Recaptcha Enterprise Initialization successful.")
       } else {
           Log.w(TAG, "Recaptcha Enterprise Initialization failed.")
       }
   }
   

   • Java:

   // Initialize Firebase Authentication
   auth = FirebaseAuth.getInstance();
   auth.initializeRecaptchaConfig().addOnCompleteListener(
     this, new OnCompleteListener<void>() {
     @Override
     public void onComplete(@NonNull Task<void> task) {
       if (task.isSuccessful()) {
         Log.d(TAG, "Recaptcha Enterprise Initialization successful.");
       } else {
         Log.w(TAG, "Recaptcha Enterprise Initialization failed.");
       }
     }
   });
   

iOS

1. Esegui l'aggiornamento all'SDK per iOS versione 11.6.0 o successive. Dopo aver integrato l'SDK per iOS con la tua app, l'SDK recupera automaticamente la configurazione di reCAPTCHA e attiva la protezione per i provider che hai configurato.

2. Per integrare l'SDK reCAPTCHA per iOS nella tua app, consulta Prepara l'ambiente.

3. Assicurati che -ObjC sia elencato nei flag del linker. Vai a Target > Build Settings > All > Linking e verifica che Other Linker Flags mostri -ObjC.

4. Se necessario, puoi forzare il recupero del segnale reCAPTCHA come segue:

   • Swift:

   // Initialize Firebase Authentication
   try await Auth.auth().initializeRecaptchaConfig()
   

   • Objective-C:

   // Initialize Firebase Authentication
   [[FIRAuth auth] initializeRecaptchaConfigWithCompletion:^(NSError * _Nullable error) {
     // Firebase Authentication initialization finished
   }];
   

Provider email-password

Per abilitare l'applicazione di reCAPTCHA per i flussi di autenticazione con email e password in un progetto o tenant, utilizza l'SDK Admin per eseguire quanto segue:

const enforceRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'ENFORCE',
    }]
  }
};

Operatore di telefonia

Per attivare l'applicazione di reCAPTCHA per i flussi di autenticazione basati su SMS in un progetto o tenant, utilizza l'SDK Admin per eseguire quanto segue:

const enforceRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'ENFORCE',
    useSmsBotScore: 'true'
    }]
  }
};

Provider email-password

Per disattivare la protezione dai bot per i flussi di autenticazione con email e password, utilizza l'SDK Admin per eseguire il seguente comando:

const disableRequest = {
  recaptchaConfig: {
    emailPasswordEnforcementState:  'OFF',
  }
};

Operatore di telefonia

Per disattivare la protezione dai bot per i flussi di autenticazione basati su SMS, utilizza l'SDK Admin per eseguire il seguente comando:

const disableRequest = {
  recaptchaConfig: {
    phoneEnforcementState:  'OFF',
    useSmsBotScore: 'false'
  }
};