Identity Platform in die reCAPTCHA Enterprise API einbinden

E‑Mail-Passwortanbieter

Die Modi „Prüfen“ und „Erzwingen“ verhalten sich bei Authentifizierungsabläufen mit E‑Mail-Adresse und Passwort so:

Audit-Modus

Wenn Sie die Erzwingung von E-Mail-Passwörtern auf den Prüfmodus festlegen, erstellt Identity Platform ein oder mehrere reCAPTCHA-Schlüssel in Ihrem Projekt, mit denen der Traffic zu Identity Platform-APIs bewertet wird, ohne Anfragen zu blockieren. Anhand der Messwerte, die im Prüfmodus ausgegeben werden, können Sie feststellen, ob Sie die reCAPTCHA-Erzwingung aktivieren sollten.

Modus „Erzwingen“

Wenn Sie die Erzwingung von E-Mail-Passwörtern auf „Erzwingen“ festlegen, erstellt Identity Platform ein oder mehrere reCAPTCHA-Schlüssel in Ihrem Projekt, mit denen der Traffic zu Identity Platform-APIs bewertet wird. API-Anfragen ohne reCAPTCHA-Token werden abgelehnt. Aktivieren Sie die Erzwingung erst, wenn Sie alle Ihre Clients zu einem SDK mit reCAPTCHA-Unterstützung migriert haben.

Bereitstellung der Smartphones

So verhalten sich die Modi „Prüfen“ und „Erzwingen“ bei Abläufen zur Telefonauthentifizierung.

Audit-Modus

Wenn Sie die Erzwingung der Telefonauthentifizierung auf den Prüfmodus festlegen, verwendet Identity Platform reCAPTCHA-Botschutz für die App-Überprüfung. Wenn die Anfrage eines Nutzers die Gebührenbetrugsprüfung besteht, wird ein SMS-Bestätigungscode gesendet. Wenn die Anfrage eines Nutzers die Gebührenbetrugsprüfung nicht besteht und Sie das Client SDK verwenden, löst Identity Platform alternative Bestätigungsmethoden aus, um den Telefonauthentifizierungsablauf abzuschließen. Die akzeptierten Fallback-Methoden hängen von der Plattform Ihrer App ab.

Das Client SDK löst die alternativen Bestätigungsmethoden in den folgenden Szenarien aus:

• Das reCAPTCHA-Token fehlt.
• Das reCAPTCHA-Token ist ungültig oder abgelaufen.
• Das reCAPTCHA-Token überschreitet den Schwellenwert für den Score nicht.
• reCAPTCHA ist nicht richtig konfiguriert.

Achten Sie darauf, dass die alternativen Bestätigungsmethoden für die Plattform Ihrer App eingerichtet sind und bei Bedarf vom Client SDK ausgelöst werden können.

Modus „Erzwingen“

Wenn Sie die Erzwingung der Telefonauthentifizierung auf „Erzwingen“ setzen, verwendet Identity Platform reCAPTCHA-Botschutz für die App-Überprüfung. Wenn die Anfrage eines Nutzers die Gebührenbetrugsprüfung besteht, wird ein SMS-Bestätigungscode gesendet. Wenn die Anfrage eines Nutzers die Gebührenbetrugsprüfung nicht besteht, blockiert Identity Platform die Anfrage und sendet keine SMS mit einem Bestätigungscode.

Im erzwungenen Modus ist keine Fallback-Bestätigung erforderlich. Sie müssen keine zusätzlichen Bestätigungsmethoden für Ihre App einrichten. Wir empfehlen jedoch, reCAPTCHA-Verifizierung für Web-Apps einzurichten, damit reCAPTCHA v2 aktiviert ist, wenn Sie den reCAPTCHA-Modus Ihrer App in AUDIT oder OFF ändern.

E‑Mail-Passwortanbieter

So aktivieren Sie den reCAPTCHA-Botschutz für E‑Mail-/Passwort-Authentifizierungsabläufe:

1. Falls noch nicht geschehen, aktivieren Sie die reCAPTCHA Enterprise API für Ihr Projekt.

2. Wenn Sie den Botschutz für ein Projekt aktivieren möchten, verwenden Sie das Admin SDK. Die reCAPTCHA-Unterstützung ist im Node.js Admin SDK ab Version 11.7.0 verfügbar.

   Beispiel:

   // Update project config with reCAPTCHA config
   const updateConfigRequest = {
     recaptchaConfig: {
       emailPasswordEnforcementState:  'ENFORCE_MODE',
       managedRules: [{
         endScore: END_SCORE,
         action: 'BLOCK'
       }]
     }
   };
   const updateProjectConfigWithRecaptcha = () => {
     getAuth().projectConfigManager().updateProjectConfig(updateConfigRequest).then((response) => {
       console.log('Updated reCAPTCHA config for project: ', response.recaptchaConfig);
     }).catch((error) => {
       console.log('Error updating project config:', error);
     });
   }
   

   Ersetzen Sie Folgendes:

   • ENFORCE_MODE: Der Modus, den Sie für die Erzwingung der reCAPTCHA-E-Mail-Passwort-Authentifizierung festlegen möchten. Gültige Werte sind OFF, AUDIT und ENFORCE. Wenn Sie den Botschutz aktivieren möchten, muss dieser Parameter auf AUDIT oder ENFORCE festgelegt sein. Wenn Sie den Botschutz zum ersten Mal aktivieren, empfehlen wir, diesen Parameter auf AUDIT festzulegen und dafür zu sorgen, dass Ihre Authentifizierungsabläufe geschützt sind, bevor Sie ihn auf ENFORCE festlegen. Weitere Informationen zur Funktionsweise der Modi finden Sie unter reCAPTCHA-Modi für den Bot-Schutz.
   • END_SCORE: Der niedrigste Wert für die Bot-Schutzbewertung, den eine Anfrage haben kann, bevor sie fehlschlägt. Sie können diesen Wert zwischen 0.0 und 1.0 festlegen. Wenn Sie beispielsweise einen Schwellenwert von 0.6 festlegen, schlägt reCAPTCHA jede Anfrage mit einem Wert von 0.5 oder niedriger fehl. Je höher Sie den Wert festlegen, desto strenger sind die Regeln.

   Sie können den Botschutz auch mit derselben Konfigurationsmethode für einen Mandanten über das Admin SDK aktivieren. Weitere Informationen zum Aktualisieren eines Mandanten finden Sie unter Mandanten aktualisieren.

3. Wenn Sie Identity Platform unter iOS oder Android verwenden, müssen Sie Ihre App in der Firebase Console registrieren: