Включить принудительное выполнение проверки приложений

Когда вы поймете, как App Check повлияет на ваших пользователей , и будете готовы продолжить, вы можете включить принудительное применение App Check .

Следующие шаги описывают, как включить проверку подлинности для Firebase AI Logic , SQL Connect , Realtime Database , Cloud Firestore , Cloud Storage , Authentication , Google Identity for iOS, Maps JavaScript API и Places API (новый). После включения проверки подлинности для продукта все непроверенные запросы к этому продукту будут отклонены.

  1. В консоли Firebase перейдите в раздел Безопасность > Проверка приложений .

  2. Разверните представление метрик продукта, для которого вы хотите включить принудительное применение.

  3. Нажмите «Применить» и подтвердите свой выбор.

Обратите внимание, что для вступления в силу после включения функции принудительного применения может потребоваться до 15 минут.

Защита от повторного воспроизведения (бета-версия)

По умолчанию App Check использует токены сессии с настраиваемым временем жизни (TTL) от 30 минут до 7 дней . Эти токены сессии кэшируются SDK App Check , отправляются вместе с запросами из вашего приложения и могут использоваться повторно до истечения срока их действия. Использование токенов сессии считается базовой защитой .

Чтобы усилить защиту сверх базового уровня, предлагаемого App Check , вы можете дополнительно включить защиту от повторного воспроизведения . Вот что происходит, когда вы включаете защиту от повторного воспроизведения:

  • App Check будет блокировать запросы к защищенному API, использующие токены сессии . Вместо этого App Check разрешит только запросы к защищенному API, использующие недавно созданный токен ограниченного использования . Инструкции по включению использования токенов ограниченного использования в вашем приложении см. в документации к конкретному продукту.

  • После проверки токена ограниченного использования он расходуется, так что его можно использовать только один раз, что предотвращает атаки повторного воспроизведения.

  • SDK App Check будет генерировать новый токен для каждого запроса. Этот процесс может повлиять на ваши запросы, увеличивая задержку и иногда стоимость (в зависимости от вашего поставщика аттестации).

Вот как обеспечить защиту от повторного воспроизведения:

  1. В коде вашего приложения включите использование токенов ограниченного действия. Инструкции по этому поводу см. в документации к конкретному продукту:

  2. В консоли Firebase перейдите в раздел Безопасность > Проверка приложений .

  3. Разверните представление метрик для защищенного API.

  4. Убедитесь, что включена базовая защита , затем нажмите «Продолжить» .

  5. Для защиты от повторного воспроизведения выберите либо «Неприменимо» (только мониторинг) , либо «Применимо» .

    Принимая решение о том, когда следует применять защиту от повторного воспроизведения, следует учитывать следующие факторы:

    • Рекомендуется отслеживать запросы, если значительное число ваших пользователей, вероятно, используют более ранние версии вашего приложения без включенных токенов ограниченного использования. Если вы немедленно включите защиту от повторного воспроизведения, запросы от этих пользователей будут заблокированы.

    • В консоли Firebase на вкладке «Безопасность > Проверка приложений > API» можно отслеживать метрику «Непроверенный: повторно используемый токен» , которая показывает количество запросов, в которых токен уже использовался в предыдущем запросе. Если значительная часть последних запросов относится к этой категории, следует избегать неудобств для пользователей и подождать, пока больше пользователей обновят ваше приложение, прежде чем включать проверку подлинности.