Utilizzare App Check per proteggere la chiave API

Firebase App Check protegge le chiamate dalla tua app a Google Maps Platform bloccando il traffico proveniente da fonti diverse dalle app legittime. A questo scopo, verifica la presenza di un token di un fornitore di attestazioni come reCAPTCHA Enterprise. L'integrazione delle tue app con App Check aiuta a proteggerti da richieste dannose, in modo da non addebitarti chiamate API non autorizzate.

App Check è adatto alle mie esigenze?

App Check è consigliato nella maggior parte dei casi, ma non è necessario o non è supportato nei seguenti casi:

• App private o sperimentali. Se la tua app non è accessibile pubblicamente, App Check non è necessario.
• Se la tua app viene utilizzata solo server-to-server, App Check non è necessario. Tuttavia, se il server che comunica con GMP viene utilizzato da client pubblici (come le app mobile), valuta la possibilità di utilizzare App Check per proteggere il server anziché GMP.

Panoramica dei passaggi di implementazione

In linea generale, ecco i passaggi da seguire per integrare l'app con App Check:

1. Aggiungi Firebase alla tua app.
2. Aggiungi e inizializza la libreria App Check.
3. Aggiungi il fornitore di token alla tua app.
4. Inizializza le API Maps JavaScript e App Check.
5. Attiva il debug.
6. Monitora le richieste dell'app e decidi l'applicazione.

Una volta completata l'integrazione con App Check, potrai visualizzare le metriche del traffico di backend nella console Firebase. Queste metriche forniscono una suddivisione delle richieste in base alla presenza o meno di un token App Check valido. Per maggiori informazioni, consulta la documentazione di Firebase App Check.

Quando avrai la certezza che la maggior parte delle richieste proviene da fonti legittime e che gli utenti hanno eseguito l'aggiornamento all'ultima versione della tua app che include l'implementazione di App Check, potrai attivare l'applicazione. Una volta attivata l'applicazione, App Check rifiuterà tutto il traffico senza un token App Check valido.

Considerazioni per la pianificazione di un'integrazione di App Check

Ecco alcuni aspetti da considerare durante la pianificazione dell'integrazione:

• Uno dei fornitori di attestazione che consigliamo, reCAPTCHA Enterprise,addebita un costo per più di 10.000 valutazioni al mese.

  L'altro fornitore di attestazioni che consigliamo, reCAPTCHA v3, ha una quota superata la quale il traffico non viene valutato.

  Puoi scegliere di utilizzare un fornitore di attestazione personalizzato, anche se si tratta di un caso d'uso avanzato. Per ulteriori informazioni, consulta la documentazione di App Check.

• Gli utenti della tua app riscontreranno una certa latenza all'avvio. Tuttavia, in seguito, qualsiasi riattestazione periodica avverrà in background e gli utenti non dovrebbero più riscontrare latenza. L'esatta quantità di latenza all'avvio dipende dal fornitore di attestazione che scegli.

  La durata di validità del token App Check (la durata o TTL) determina la frequenza delle riattestazioni. Questa durata può essere configurata nella console Firebase. La riattestazione si verifica quando è trascorso circa metà del TTL. Per saperne di più, consulta la documentazione di Firebase per il tuo fornitore di attestazioni.

Integrare l'app con App Check

Prerequisiti e requisiti

• Un'app con l'ultima versione settimanale o trimestrale dell'API Maps JavaScript e le librerie principali caricate.
• Un progetto Cloud con l'API Maps JavaScript abilitata.
• Devi essere il proprietario dell'app nella console Cloud.
• Avrai bisogno dell'ID progetto dell'app dalla console Cloud

Passaggio 1: aggiungi Firebase alla tua app

Segui le istruzioni nella documentazione per gli sviluppatori di Firebase per aggiungere Firebase alla tua app.

Passaggio 2: aggiungi la libreria App Check e inizializza App Check

Firebase fornisce istruzioni per ogni fornitore di attestazione predefinito. Queste istruzioni mostrano come configurare un progetto Firebase e aggiungere la libreria App Check alla tua app. Segui gli esempi di codice forniti per inizializzare App Check.

• Istruzioni per reCAPTCHA Enterprise.

• Istruzioni per reCAPTCHA v3.

Passaggio 3: carica le librerie dell'API Maps JavaScript

1. Carica le librerie principali e Maps come mostrato nello snippet seguente. Per ulteriori informazioni e istruzioni, consulta la documentazione dell'API Maps JavaScript.

   async function init() {   const {Settings} = await google.maps.importLibrary('core');   const {Map} = await google.maps.importLibrary('maps'); }  

Passaggio 4: inizializza le API Maps e App Check

1. Inizializza App Check utilizzando la configurazione fornita dalla console Firebase.
   • Istruzioni per reCAPTCHA v3.
   • Istruzioni per reCAPTCHA Enterprise.
2. Assicurati che le richieste all'API Maps JavaScript siano accompagnate da token App Check:

     import {initializeApp} from 'firebase/app';   import {     getToken,     initializeAppCheck,     ReCaptchaEnterpriseProvider,   } from 'firebase/app-check';        async function init() {     const {Settings} = await google.maps.importLibrary('core');     const {Map} = await google.maps.importLibrary('maps');        const app = initializeApp({       // Your firebase configuration object     });        // Pass your reCAPTCHA Enterprise site key to initializeAppCheck().     const appCheck = initializeAppCheck(app, {       provider: new ReCaptchaEnterpriseProvider(         'abcdefghijklmnopqrstuvwxy-1234567890abcd',       ),          // Optional argument. If true, the SDK automatically refreshes App Check       // tokens as needed.       isTokenAutoRefreshEnabled: true,     });        Settings.getInstance().fetchAppCheckToken = () =>         getToken(appCheck, /* forceRefresh = */ false);        // Load a map     map = new Map(document.getElementById("map"), {       center: { lat: 37.4161493, lng: -122.0812166 },       zoom: 8,     });   }     

(Facoltativo) Passaggio 5: attiva il debug

Se vuoi sviluppare e testare la tua app localmente o eseguirla in un ambiente di integrazione continua (CI), puoi creare una build di debug dell'app che utilizza un secret di debug per ottenere token App Check validi. In questo modo puoi evitare di utilizzare fornitori di attestazione reali nella build di debug.

Per testare la tua app localmente:

• Attiva il provider di debug a scopo di sviluppo.
• Riceverai un UUID4 casuale generato automaticamente (chiamato _token di debug_ nella documentazione di App Check) dai log di debug dell'SDK. Aggiungi questo token alla console Firebase.
• Per ulteriori informazioni e istruzioni, consulta la documentazione di App Check.

Per eseguire l'app in un ambiente CI:

• Genera un UUID4 casuale dalla console Firebase.
• Aggiungi l'UUID4 come token di debug, quindi copialo in un archivio segreto a cui i test CI accederanno per ogni esecuzione del test.
• Per ulteriori informazioni e istruzioni, consulta la documentazione di App Check.

Passaggio 6: monitora le richieste di app e decidi l'applicazione

Prima di iniziare l'applicazione, assicurati di non interrompere l'attività degli utenti legittimi della tua app. A questo scopo, visita la schermata delle metriche di App Check per visualizzare la percentuale di traffico della tua app verificato, obsoleto o illegittimo. Una volta verificato che la maggior parte del traffico è verificata, puoi attivare l'applicazione.

Per ulteriori informazioni e istruzioni, consulta la documentazione di Firebase App Check.