זיהוי איומים חזק יותר, שילוב פשוט יותר: הגנה על הצמיחה שלכם באמצעות Play Integrity API

בסביבת הפרסום בנייד, ניצול לרעה יכול לפגוע בהכנסות, בצמיחה ובאמון של המשתמשים. כדי לעזור למפתחים להצליח, Google Play מציעה שירות גמיש לזיהוי איומים, Play Integrity API. ממשק Play Integrity API עוזר לכם לוודא שהאינטראקציות והבקשות מהשרת הן אמיתיות – שהן מגיעות מהאפליקציה המקורית במכשיר Android מאושר, שהותקנה דרך Google Play.

ההשפעה היא משמעותית: באפליקציות שמשתמשות בתכונות של Play Integrity API, השימוש הלא מורשה נמוך ב-80% בממוצע בהשוואה לאפליקציות אחרות. כיום, חברות מובילות בקטגוריות שונות – כולל Uber,‏ TikTok,‏ Stripe,‏ Kabam,‏ Wooga,‏ Radar.com,‏ Zimperium,‏ Paytm ו-Remini – משתמשות בו כדי להגן על העסקים שלהן.

אנחנו ממשיכים לשפר את Play Integrity API, כדי שיהיה קל יותר לשלב אותו, עמיד יותר בפני התקפות מתוחכמות וטוב יותר בשחזור משתמשים שלא עומדים בתקני התקינות או נתקלים בשגיאות, באמצעות הנחיות חדשות לתיקון בתוך האפליקציה ב-Play.

זיהוי איומים על העסק

‫Play Integrity API מספק קביעות שנועדו לזהות איומים ספציפיים שמשפיעים על השורה התחתונה שלכם במהלך אינטראקציות קריטיות.

• גישה לא מורשית: התוצאה של accountDetails עוזרת לכם לקבוע אם המשתמש התקין את האפליקציה או המשחק או שילם עליהם ב-Google Play.
• שינוי קוד: ההחלטה של appIntegrity עוזרת לכם לקבוע אם האינטראקציה מתבצעת עם הקוד הבינארי המקורי, כפי שמערכת Google Play מזהה אותו.
• מכשירים מסוכנים וסביבות אמולציה: הקביעה של deviceIntegrity עוזרת לכם לדעת אם האפליקציה שלכם פועלת במכשיר Android מקורי שתואם ל-Play Protect או דרך שירות מקורי של Google Play Games במחשב.
• מכשירים ללא תיקונים: במכשירים עם Android מגרסה 13 ומעלה, התגובה של MEETS_STRONG_INTEGRITY בתוצאה של deviceIntegrity עוזרת לכם לקבוע אם הותקנו במכשיר עדכוני האבטחה האחרונים. אפשר גם להביע הסכמה ל-deviceAttributes כדי לכלול בתגובה את גרסת ה-Android SDK המאומתת.
• גישה מסוכנת של אפליקציות אחרות: appAccessRiskVerdict עוזר לכם לקבוע אם פועלות אפליקציות שיכולות לשמש לצילום המסך, להצגת שכבות-על או לשליטה במכשיר (לדוגמה, על ידי שימוש לרעה בהרשאת הנגישות). ההחלטה הזו מחריגה באופן אוטומטי אפליקציות שמיועדות באמת למטרות נגישות.
• תוכנות זדוניות ידועות: playProtectVerdict עוזר לכם לקבוע אם Google Play Protect מופעל ואם הוא מצא אפליקציות מסוכנות שמותקנות במכשיר.
• פעילות יתר: הרמה של recentDeviceActivity עוזרת לכם לקבוע אם מכשיר שלח לאחרונה מספר גבוה באופן חריג של בקשות לטוקן תקינות, מה שיכול להצביע על תנועה אוטומטית ועל מתקפה.
• ניצול לרעה חוזר ושימוש חוזר במכשירים: deviceRecall (בטא) עוזר לכם לקבוע אם אתם יוצרים אינטראקציה עם מכשיר שכבר סימנתם בעבר, גם אם האפליקציה הותקנה מחדש או שהמכשיר אופס. התכונה "שחזור ערכים לפי מכשיר" מאפשרת לכם להתאים אישית את הפעולות החוזרות שאתם רוצים לעקוב אחריהן.

אפשר להשתמש ב-API במגוון גורמי צורה של Android, כולל טלפונים, טאבלטים, מכשירים מתקפלים, Android Auto, ‏ Android TV, ‏ Android XR, ‏ ChromeOS, ‏ Wear OS ו-Google Play Games למחשב.

איך להפיק את המקסימום מ-Play Integrity API

מפתחים של אפליקציות ומשחקים נהנים מהצלחה עם Play Integrity API כשהם פועלים לפי שיקולי האבטחה ונוקטים גישה הדרגתית לאסטרטגיה שלהם למניעת ניצול לרעה.

שלב 1: מחליטים על מה רוצים להגן: מחליטים אילו פעולות ובקשות לשרת באפליקציות ובמשחקים חשוב לאמת ולהגן עליהן. לדוגמה, אפשר לבצע בדיקות תקינות כשמשתמש מפעיל את האפליקציה, נכנס לחשבון, מצטרף למשחק רב-משתתפים, יוצר תוכן באמצעות AI או מעביר כסף.

שלב 2: איסוף תגובות של החלטות לגבי תקינות: מבצעים בדיקות תקינות ברגעים חשובים כדי להתחיל לאסוף נתוני החלטות, בלי אכיפה בשלב הראשון. כך תוכלו לנתח את התגובות של בסיס ההתקנות שלכם ולראות איך הן קשורות לאותות הקיימים של ניצול לרעה ולנתונים ההיסטוריים של ניצול לרעה.

שלב 3: בחירת אסטרטגיית אכיפה: בוחרים אסטרטגיית אכיפה על סמך ניתוח התשובות ומה שאתם מנסים להגן עליו. לדוגמה, אתם יכולים לשנות תנועה מסוכנת ברגעים חשובים כדי להגן על פונקציונליות רגישה. ה-API מציע מגוון תגובות, כך שתוכלו להטמיע אסטרטגיית אכיפה מדורגת על סמך רמת האמינות שאתם נותנים לכל שילוב של תגובות.

שלב 4: משיקים בהדרגה את האכיפה ותומכים במשתמשים: משיקים בהדרגה את האכיפה. חשוב שתהיה לכם אסטרטגיה לניסיון חוזר במקרים שבהם יש בעיות בתוצאות או שהן לא זמינות, ושתהיו מוכנים לתמוך במשתמשים לגיטימיים שנתקלים בבעיות. ההנחיות החדשות לתיקון בעיות בתוך האפליקציה ב-Play, שמתוארות בהמשך, מאפשרות למשתמשים שנתקלים בבעיות לחזור למצב תקין בקלות רבה יותר.

חדש: אפשר לתת ל-Play לשחזר משתמשים עם בעיות באופן אוטומטי

ההחלטה איך להגיב לאותות שונים של תקינות יכולה להיות מורכבת, וצריך לטפל בתגובות שונות של תקינות ובקודי שגיאה של API (כמו בעיות ברשת או גרסאות מיושנות של Google Play Services). כדי לפשט את התהליך, הוספנו הנחיות חדשות לתיקון בעיות בתוך האפליקציה ב-Play. אתם יכולים להציג למשתמשים הנחיה של Google Play כדי לתקן באופן אוטומטי מגוון רחב של בעיות ישירות באפליקציה. כך אפשר לצמצם את מורכבות השילוב, להבטיח ממשק משתמש עקבי ולעזור ליותר משתמשים לחזור למצב תקין.

‫GET_INTEGRITY מזהה באופן אוטומטי את הבעיה (בדוגמה הזו, שגיאה בחיבור לרשת) ופותר אותה.

אפשר להפעיל את תיבת הדו-שיח GET_INTEGRITY, שזמינה בגרסה 1.5.0 ואילך של ספריית Play Integrity API, אחרי מגוון בעיות כדי להדריך את המשתמש באופן אוטומטי בתיקונים הנדרשים, כולל:

• גישה לא מורשית: המשתמש מופנה חזרה לתגובה עם רישיון Play ב-accountDetails.
• שינוי קוד: הפונקציה GET_INTEGRITY מפנה את המשתמש חזרה לתגובה שמוכרת על ידי Play ב-appIntegrity.
• בעיות בתקינות המכשיר: הפעולה GET_INTEGRITY מנחה את המשתמש איך לחזור למצב MEETS_DEVICE_INTEGRITY ב-deviceIntegrity.
• קודי שגיאה שניתן לתקן: הפונקציה GET_INTEGRITY פותרת שגיאות API שניתן לתקן, כמו בקשה מהמשתמש לתקן את הקישוריות לרשת או לעדכן את Google Play Services.

אנחנו מציעים גם תיבות דו-שיח מיוחדות, כולל GET_STRONG_INTEGRITY (שפועלת כמו GET_INTEGRITY וגם מחזירה את המשתמש למצב MEETS_STRONG_INTEGRITY בלי בעיות ידועות של תוכנות זדוניות ב-playProtectVerdict), GET_LICENSED (שמחזירה את המשתמש למצב של רישיון Play וזיהוי על ידי Play), וגם CLOSE_UNKNOWN_ACCESS_RISK ו-CLOSE_ALL_ACCESS_RISK (שמבקשות מהמשתמש לסגור אפליקציות שעלולות להיות מסוכנות).

בחירת פתרונות מודרניים לשמירה על תקינות

בנוסף ל-Play Integrity API, ‏ Google מציעה עוד כמה תכונות שכדאי להביא בחשבון כחלק מהאסטרטגיה הכוללת למניעת ניצול לרעה. גם Play Integrity API וגם ההגנה האוטומטית של Play משפרים את חוויית המשתמש ומספקים למפתחים יתרונות שמאפשרים להם להגן על הפצת האפליקציות. אנחנו ממליצים למפתחים של אפליקציות קיימות לעבור לפתרונות המודרניים האלה לבדיקת תקינות במקום להשתמש בספריית הרישוי הקודמת של Play.

הגנה אוטומטית: אתם יכולים למנוע גישה לא מורשית באמצעות ההגנה האוטומטית של Google Play, ולוודא שהמשתמשים ימשיכו לקבל את עדכוני האפליקציה הרשמיים שלכם. אם תפעילו אותה, מערכת Google Play תוסיף באופן אוטומטי בדיקה של מנהל ההתקנה לקוד האפליקציה, בלי שתצטרכו לבצע עבודת שילוב של מפתחים. אם האפליקציה המוגנת שלכם מופצת מחדש או משותפת דרך ערוץ אחר, המשתמש יתבקש להוריד את האפליקציה מ-Google Play. מפתחים שעומדים בדרישות של Play יכולים גם להשתמש בהגנה המתקדמת של Play מפני חדירה לקוד. ההגנה הזו משתמשת בערפול קוד ובבדיקות זמן ריצה כדי להקשות על תוקפים לשנות ולהפיץ מחדש אפליקציות מוגנות, ולהפוך את הפעולות האלה ליקרות יותר.

אימות מפתח של פלטפורמת Android: Play Integrity API הוא הדרך המומלצת ליהנות מאימות מפתח של פלטפורמת Android שמגובה בחומרה. ‫Play Integrity API מטפל בהטמעה הבסיסית בכל סביבת המכשירים, Play מפחית באופן אוטומטי את ההשפעה של בעיות והפסקות שירות שקשורות למפתחות, ואתם יכולים להשתמש ב-API כדי לזהות איומים אחרים. מפתחים שמטמיעים אימות מפתח באופן ישיר במקום להסתמך על Play Integrity API צריכים להתכונן לרוטציה הקרובה של אישורי הבסיס בפלטפורמת Android בפברואר 2026 כדי למנוע שיבושים (מפתחים שמשתמשים ב-Play Integrity API לא צריכים לעשות שום דבר).

Firebase App Check: מפתחים שמשתמשים ב-Firebase יכולים להשתמש ב-Firebase App Check כדי לקבל החלטה לגבי תקינות האפליקציה והמכשיר, שמבוססת על Play Integrity API במכשירי Android מאושרים, יחד עם תגובות מספקי אישורים אחרים בפלטפורמה. כדי לזהות את כל האיומים האחרים ולהשתמש בתכונות אחרות של Play, צריך לשלב את Play Integrity API ישירות.

‫reCAPTCHA Enterprise: לקוחות Enterprise שמחפשים פתרון מלא לניהול בוטים והונאות יכולים לרכוש את reCAPTCHA Enterprise לנייד. reCAPTCHA Enterprise משתמש בחלק מהאותות למניעת ניצול לרעה של Play Integrity API, ומשלב אותם עם אותות של reCAPTCHA באופן מובנה.

הגנה על העסק כבר היום

‫Play Integrity API הוא כלי חיוני להגנה על הצמיחה שלכם, עם בסיס חזק של אבטחה מבוססת חומרה ותיבות דו-שיח חדשות לתיקון אוטומטי שמפשטות את השילוב.

תחילת השימוש במאמרי העזרה של Play Integrity API