Skuteczniejsze wykrywanie zagrożeń, prostsza integracja: chroń rozwój swojej firmy dzięki interfejsowi Play Integrity API

W ekosystemie mobilnym nadużycia mogą zagrozić Twoim przychodom, rozwojowi i zaufaniu użytkowników. Aby pomóc deweloperom w rozwoju, Google Play oferuje niezawodną usługę wykrywania zagrożeń – interfejs Play Integrity API. Interfejs Play Integrity API pomaga sprawdzać, czy interakcje i żądania serwera są autentyczne – pochodzą z niezmodyfikowanej aplikacji zainstalowanej z Google Play na certyfikowanym urządzeniu z Androidem.

Wpływ jest znaczący: aplikacje korzystające z funkcji Play Integrity odnotowują średnio o 80% mniej nieautoryzowanego użycia w porównaniu z innymi aplikacjami. Obecnie liderzy z różnych kategorii – m.in. Uber, TikTok, Stripe, Kabam, Wooga, Radar.com, Zimperium, Paytm i Remini – używają go do ochrony swoich firm.

Stale ulepszamy interfejs Play Integrity API, aby ułatwić jego integrację, zwiększyć jego odporność na zaawansowane ataki i usprawnić odzyskiwanie użytkowników, którzy nie spełniają standardów integralności lub napotykają błędy, dzięki nowym prośbom o działania naprawcze w aplikacji w Google Play.

Wykrywanie zagrożeń dla firmy

Interfejs Play Integrity API udostępnia oceny, które pomagają wykrywać konkretne zagrożenia wpływające na wyniki finansowe podczas krytycznych interakcji.

• Nieautoryzowany dostęp: wynik accountDetails pomaga określić, czy użytkownik zainstalował Twoją aplikację lub grę w Google Play lub za nią zapłacił.
• Modyfikacja kodu: ocena appIntegrity pomaga określić, czy używasz niezmodyfikowanego pliku binarnego rozpoznawanego przez Google Play.
• Urządzenia stanowiące ryzyko i środowiska emulowane: ocena deviceIntegrity pomaga określić, czy aplikacja działa na oryginalnym urządzeniu z Androidem z certyfikatem Play Protect lub oryginalnym wystąpieniu Gier Google Play na PC.
• Urządzenia bez poprawek: w przypadku urządzeń z Androidem 13 lub nowszym odpowiedź MEETS_STRONG_INTEGRITY w ocenie deviceIntegrity pomaga określić, czy na urządzeniu zastosowano najnowsze aktualizacje zabezpieczeń. Możesz też wyrazić zgodę na deviceAttributes, aby w odpowiedzi uwzględnić wersję pakietu Android SDK.
• Ryzykowny dostęp innych aplikacji: appAccessRiskVerdict pomaga określić, czy uruchomione są aplikacje, które mogą przechwytywać ekran, wyświetlać nakładki lub sterować urządzeniem (np. przez niewłaściwe wykorzystanie uprawnień ułatwień dostępu). Ta decyzja automatycznie wyklucza aplikacje, które służą do ułatwiania dostępu.
• Znane złośliwe oprogramowanie: ocena playProtectVerdict pomaga określić, czy usługa Google Play Protect jest włączona i czy wykryła zainstalowane na urządzeniu stwarzające ryzyko lub niebezpieczne aplikacje.
• Nadaktywność: poziom recentDeviceActivity pomaga określić, czy urządzenie wysłało ostatnio anomalnie dużą liczbę żądań tokena integralności, co może wskazywać na zautomatyzowany ruch i być oznaką ataku.
• Powtarzające się nadużycia i ponownie używane urządzenia: funkcja deviceRecall (beta) pomaga określić, czy korzystasz z urządzenia, które zostało wcześniej przez Ciebie oznaczone, nawet jeśli aplikacja została ponownie zainstalowana lub urządzenie zostało zresetowane. Dzięki zapamiętywaniu urządzenia możesz dostosować powtarzające się działania, które chcesz śledzić.

Interfejsu API można używać na urządzeniach z Androidem, w tym na telefonach, tabletach, urządzeniach składanych, Androidzie Auto, Androidzie TV, Androidzie XR, ChromeOS, Wear OS i w Grach Google Play na PC.

Jak najlepiej wykorzystać Play Integrity API

Aplikacje i gry odniosły sukces dzięki interfejsowi Play Integrity API, ponieważ ich deweloperzy przestrzegali zasad bezpieczeństwa i wdrażali strategię przeciwdziałania nadużyciom etapami.

Krok 1. Zdecyduj, co chcesz chronić: określ, które działania i żądania serwera w aplikacjach i grach są ważne do zweryfikowania i ochrony. Możesz na przykład przeprowadzać kontrole integralności, gdy użytkownik uruchamia aplikację, loguje się, dołącza do gry wieloosobowej, generuje treści od AI lub przesyła pieniądze.

Krok 2. Zbieraj odpowiedzi z orzeczeniami o integralności: przeprowadzaj kontrole integralności w ważnych momentach, aby zacząć zbierać dane z orzeczeniami, początkowo bez egzekwowania zasad. Dzięki temu możesz przeanalizować odpowiedzi dotyczące liczby instalacji i zobaczyć, jak korelują z dotychczasowymi sygnałami o nadużyciach i danymi historycznymi na ten temat.

Krok 3. Wybierz strategię egzekwowania: wybierz strategię egzekwowania na podstawie analizy odpowiedzi i tego, co chcesz chronić. Możesz na przykład zmienić ryzykowny ruch w ważnych momentach, aby chronić funkcje poufne. Interfejs API oferuje różne odpowiedzi, dzięki czemu możesz wdrożyć wielopoziomową strategię egzekwowania zasad na podstawie poziomu zaufania, jaki przypisujesz każdej kombinacji odpowiedzi.

Krok 4. Stopniowo wdrażaj egzekwowanie i pomagaj użytkownikom: stopniowo wdrażaj egzekwowanie. Opracuj strategię ponawiania prób, gdy oceny są nieprawidłowe lub niedostępne, i przygotuj się na pomoc użytkownikom, którzy mają problemy. Nowe monity o rozwiązanie problemu w aplikacji w Google Play, opisane poniżej, ułatwiają użytkownikom powrót do prawidłowego stanu.

NOWOŚĆ: pozwól Google Play automatycznie odzyskiwać użytkowników, którzy mają problemy

Decydowanie o tym, jak reagować na różne sygnały integralności, może być skomplikowane. Musisz obsługiwać różne odpowiedzi dotyczące integralności i kody błędów interfejsu API (np. problemy z siecią lub nieaktualne Usługi Google Play). Upraszczamy ten proces dzięki nowym prośbom o rozwiązanie problemu w aplikacji w Google Play. Możesz wyświetlać użytkownikom prośbę z Google Play, aby automatycznie rozwiązywać różne problemy bezpośrednio w aplikacji. Zmniejsza to złożoność integracji, zapewnia spójny interfejs i pomaga przywrócić prawidłowe działanie aplikacji u większej liczby użytkowników.

GET_INTEGRITY automatycznie wykrywa problem (w tym przykładzie błąd sieci) i rozwiązuje go.

Okno  GET_INTEGRITY, dostępne w bibliotece Play Integrity API w wersji 1.5.0 lub nowszej, możesz wywołać po wystąpieniu różnych problemów, aby automatycznie przeprowadzić użytkownika przez niezbędne działania naprawcze, takie jak:

• Nieautoryzowany dostęp:  GET_INTEGRITY kieruje użytkownika z powrotem do odpowiedzi dotyczącej licencji Google Play w accountDetails.
• Modyfikacja kodu: GET_INTEGRITY kieruje użytkownika z powrotem do odpowiedzi rozpoznawanej przez Google Play w appIntegrity.
• Problemy z integralnością urządzenia: GET_INTEGRITY instruuje użytkownika, jak wrócić do stanu MEETS_DEVICE_INTEGRITY w deviceIntegrity.
• Kody błędów, które można naprawić: GET_INTEGRITY rozwiązuje błędy interfejsu API, które można naprawić, np. prosząc użytkownika o naprawienie połączenia sieciowego lub zaktualizowanie Usług Google Play.

Oferujemy też specjalne okna, takie jak  GET_STRONG_INTEGRITY (które działa jak GET_INTEGRITY, ale przywraca użytkownika do stanu MEETS_STRONG_INTEGRITY bez znanych problemów ze złośliwym oprogramowaniem w playProtectVerdict), GET_LICENSED (które przywraca użytkownika do stanu licencjonowanego i rozpoznawanego przez Google Play) oraz CLOSE_UNKNOWN_ACCESS_RISK i CLOSE_ALL_ACCESS_RISK (które proszą użytkownika o zamknięcie potencjalnie niebezpiecznych aplikacji).

Wybieranie nowoczesnych rozwiązań dotyczących integralności

Oprócz interfejsu Play Integrity API Google oferuje kilka innych funkcji, które warto uwzględnić w ogólnej strategii przeciwdziałania nadużyciom. Zarówno interfejs Play Integrity API, jak i automatyczna ochrona w Google Play zapewniają korzyści użytkownikom i deweloperom w zakresie ochrony rozpowszechniania aplikacji. Zachęcamy do przeniesienia dotychczasowych aplikacji na te nowoczesne rozwiązania zapewniające integralność zamiast korzystania ze starszej biblioteki licencjonowania w Google Play.

Automatyczna ochrona:  zapobiegaj nieautoryzowanemu dostępowi dzięki automatycznej ochronie w Google Play i zapewnij użytkownikom możliwość otrzymywania oficjalnych aktualizacji aplikacji. Włącz ją, a Google Play automatycznie doda do kodu aplikacji funkcje weryfikacji instalacji, bez konieczności wykonywania jakichkolwiek prac integracyjnych przez dewelopera. Jeśli Twoja chroniona aplikacja zostanie rozpowszechniona lub udostępniona za pomocą innego kanału, użytkownik zobaczy prośbę o pobranie jej z Google Play. Kwalifikujący się deweloperzy w Google Play mają też dostęp do zaawansowanej ochrony przed nieuprawnionymi modyfikacjami w Google Play, która wykorzystuje zaciemnianie kodu i weryfikacje w czasie działania, aby utrudnić i podrożyć atakującym modyfikowanie i dalsze rozpowszechnianie chronionych aplikacji.

Atestacja kluczy platformy Androida:  interfejs Play Integrity API to zalecany sposób korzystania ze wspieranej sprzętowo atestacji kluczy platformy Androida. Interfejs Play Integrity API dba o podstawową implementację w ekosystemie urządzeń, Google Play automatycznie ogranicza problemy i przerwy w działaniu związane z kluczami, a Ty możesz używać interfejsu API do wykrywania innych zagrożeń. Deweloperzy, którzy bezpośrednio wdrażają atestację kluczy, zamiast polegać na interfejsie Play Integrity API, powinni przygotować się na nadchodzącą rotację certyfikatów głównych na platformie Androida w lutym 2026 r., aby uniknąć zakłóceń (deweloperzy korzystający z interfejsu Play Integrity API nie muszą podejmować żadnych działań).

Sprawdzanie aplikacji Firebase: deweloperzy korzystający z Firebase mogą używać Sprawdzania aplikacji Firebase, aby otrzymywać wyniki oceny integralności aplikacji i urządzenia generowane przez interfejs Play Integrity API na certyfikowanych urządzeniach z Androidem, a także odpowiedzi od innych dostawców atestów platformy. Aby wykrywać wszystkie inne zagrożenia i korzystać z innych funkcji Google Play, zintegruj bezpośrednio interfejs Play Integrity API.

reCAPTCHA Enterprise: klienci korporacyjni, którzy szukają kompletnego rozwiązania do zarządzania oszustwami i botami, mogą kupić reCAPTCHA Enterprise na urządzenia mobilne. reCAPTCHA Enterprise wykorzystuje niektóre sygnały Play Integrity API dotyczące nadużyć i łączy je z sygnałami reCAPTCHA.

Zadbaj o bezpieczeństwo swojej firmy już dziś

Dzięki solidnym podstawom w postaci zabezpieczeń wspieranych sprzętowo i nowym automatycznym oknom dialogowym, które upraszczają integrację, interfejs Play Integrity API jest niezbędnym narzędziem do ochrony rozwoju.

Zacznij korzystać z dokumentacji interfejsu Play Integrity API