Улучшенное обнаружение угроз и упрощенная интеграция: защитите свой рост с помощью Play Integrity API

В мобильной экосистеме злоупотребления могут угрожать вашему доходу, росту и доверию пользователей. Чтобы помочь разработчикам, Google Play предлагает надежный сервис обнаружения угроз – Play Integrity API. Play Integrity API позволяет убедиться, что действия пользователей и серверные запросы исходят из вашего неизмененного приложения, установленного из Google Play и запущенного на сертифицированном устройстве Android.

Результаты впечатляют: несанкционированное использование приложений с функциями Play Integrity ниже на 80 % по сравнению с остальными. Сегодня Play Integrity API используют для защиты бизнеса лидеры в самых разных категориях, включая Uber, TikTok, Stripe, Kabam, Wooga, Radar.com, Zimperium, Paytm и Remini.

Мы продолжаем улучшать Play Integrity API, чтобы упростить его интеграцию, повысить устойчивость к сложным атакам и помочь пользователям, которые не соответствуют стандартам целостности или сталкиваются с ошибками, благодаря новым подсказкам по устранению неполадок в приложении.

Обнаружение угроз для бизнеса

Play Integrity API предлагает оценки, предназначенные для обнаружения определенных угроз, которые влияют на вашу прибыль во время критических взаимодействий.

• Несанкционированный доступ. Оценка accountDetails позволяет определить, установил или оплатил ли пользователь ваше приложение или игру через Google Play.
• Изменение кода. Оценка appIntegrity помогает узнать, используется ли неизмененная версия исполняемого файла, подтвержденная Google Play.
• Опасные устройства и эмулируемые среды. Оценка deviceIntegrity позволяет выявить, запущено ли приложение на немодифицированном сертифицированном Play Защитой устройстве Android или в подлинном экземпляре Google Play Games на ПК.
• Устройства без исправлений. Ответ MEETS_STRONG_INTEGRITY в оценке deviceIntegrity помогает определить, установлены ли на устройстве с Android 13 или более поздней версией недавние обновления системы безопасности. Вы также можете включить deviceAttributes, чтобы в ответ добавлялась подтвержденная версия Android SDK.
• Риск доступа со стороны других приложений. Оценка appAccessRiskVerdict позволяет узнать, запущены ли приложения, которые могут использоваться для записи экрана, показа оверлеев или управления устройством (например, путем злоупотребления разрешениями на доступ к специальным возможностям). Этот вердикт автоматически исключает приложения, которые действительно предназначены для специальных возможностей.
• Известное вредоносное ПО. Оценка playProtectVerdict помогает выявить, включена ли Google Play Защита и обнаружены ли на устройстве подозрительные или опасные приложения.
• Гиперактивность. Уровень recentDeviceActivity позволяет определить, отправляло ли устройство аномально высокое число запросов токенов целостности в последнее время. Это может указывать на автоматическую передачу трафика или атаку.
• Повторные нарушения и неоднократное использование устройств. Оценка deviceRecall (бета) помогает узнать, взаимодействуете ли вы с устройством, на котором вы уже отмечали нарушения, даже если приложение было переустановлено или настройки устройства были сброшены. С помощью запоминания устройства вы можете настроить отслеживание повторных действий.

API можно использовать на устройствах Android всех типов, включая телефоны, планшеты, складные устройства, Android Auto, Android TV, Android XR, ChromeOS и Wear OS, а также в Google Play Games на компьютере.

Как максимально эффективно использовать Play Integrity API

Разработчики приложений и игр, которые следуют принципам безопасности и поэтапно внедряют стратегию защиты от злоупотреблений, успешно используют Play Integrity API.

Шаг 1. Определите, что вы хотите защитить. Решите, какие действия и запросы к серверу в ваших приложениях и играх важно проверять и защищать. Например, вы можете выполнять проверку целостности, когда пользователь запускает приложение, входит в аккаунт, присоединяется к многопользовательской игре, генерирует ИИ-контент или переводит деньги.

Шаг 2. Соберите ответы с оценкой целостности. Выполняйте проверки целостности в важные моменты, чтобы начать собирать данные оценки. На этом этапе меры не принимаются. Это позволит вам проанализировать ответы для вашей базы установок и сопоставить их с существующими сигналами и статистикой злоупотреблений.

Шаг 3. Выберите стратегию принудительного применения. Выберите стратегию принудительного применения на основе анализа ответов и того, что вы пытаетесь защитить. Например, вы можете изменить рискованный трафик в важные моменты, чтобы защитить конфиденциальные функции. API предлагает ряд ответов, поэтому вы можете реализовать многоуровневую стратегию принудительного применения на основе уровня доверия, который вы предоставляете каждой комбинации ответов.

Шаг 4. Постепенно внедрите принудительное применение и поддержите пользователей. Постепенно внедрите принудительное применение. Разработайте стратегию повторных попыток на случай, если оценка недоступна или с ней возникли проблемы. Будьте готовы помочь добросовестным пользователям, у которых возникли проблемы. Новые подсказки в приложениях Google Play, описанные ниже, позволяют пользователям легко устранять проблемы.

НОВИНКА. Разрешите Google Play автоматически восстанавливать пользователей с проблемами

Решить, как реагировать на разные сигналы целостности, может быть непросто. Вам нужно обрабатывать различные ответы о целостности и коды ошибок API (например, проблемы с сетью или устаревшие сервисы Google Play). Чтобы упростить этот процесс, мы добавили подсказки Google Play по устранению неполадок в приложении. Вы можете показывать пользователям подсказки Google Play, чтобы автоматически устранять широкий спектр проблем прямо в приложении. Это упрощает интеграцию, обеспечивает единообразие пользовательского интерфейса и помогает вернуть больше пользователей в хорошее состояние.

GET_INTEGRITY автоматически обнаруживает проблему (в этом примере – ошибку сети) и устраняет ее.

Вы можете настроить показ диалогового окна  GET_INTEGRITY, доступного в библиотеке Play Integrity API версии 1.5.0 и более поздних, после возникновения ряда проблем, чтобы автоматически помочь пользователю устранить их. Вот некоторые из этих проблем:

• Несанкционированный доступ.  GET_INTEGRITY направляет пользователя обратно к ответу о лицензии Google Play в accountDetails.
• Изменение кода. GET_INTEGRITY направляет пользователя к ответу, распознаваемому Google Play, в appIntegrity.
• Проблемы с целостностью устройства. GET_INTEGRITY показывает пользователю, как вернуть устройство в состояние MEETS_DEVICE_INTEGRITY в deviceIntegrity.
• Коды устранимых ошибок. GET_INTEGRITY устраняет ошибки API, например предлагает пользователю исправить подключение к сети или обновить сервисы Google Play.

Мы также предлагаем специализированные диалоговые окна, в том числе  GET_STRONG_INTEGRITY (работает как GET_INTEGRITY, но также возвращает пользователя в состояние MEETS_STRONG_INTEGRITY без известных проблем с вредоносным ПО в playProtectVerdict), GET_LICENSED (возвращает пользователя в состояние, когда приложение лицензировано и распознано Google Play), а также CLOSE_UNKNOWN_ACCESS_RISK и CLOSE_ALL_ACCESS_RISK (предлагают пользователю закрыть потенциально опасные приложения).

Выбирайте современные решения для обеспечения целостности

Помимо Play Integrity API, Google предлагает и другие функции, которые можно использовать в рамках общей стратегии защиты от злоупотреблений. Play Integrity API и автоматическая защита Google Play помогают разработчикам защищать распространение приложений и улучшать взаимодействие с пользователями. Рекомендуем перейти на эти современные решения вместо устаревшей библиотеки лицензирования Google Play.

Автоматическая защита.  Предотвращайте несанкционированный доступ с помощью автоматической защиты Google Play и обеспечьте пользователям доступ к официальным обновлениям приложения. Если вы включите эту функцию, Google Play автоматически добавит в код приложения проверку установщика. От вас не потребуется никаких действий. Если ваше защищенное приложение распространяется или передается по другому каналу, пользователю будет предложено скачать его из Google Play. Разработчики, соответствующие требованиям Google Play, также могут использовать расширенную защиту от вмешательства. Она усложняет злоумышленникам изменение и распространение защищенных приложений за счет обфускации и проверок во время выполнения.

Аттестация ключей платформы Android.  Play Integrity API – это рекомендуемый способ воспользоваться преимуществами аппаратной аттестации ключей платформы Android. Play Integrity API обеспечивает базовую реализацию в экосистеме устройств, Google Play автоматически устраняет проблемы и сбои, связанные с ключами, а вы можете использовать API для обнаружения других угроз. Разработчикам, которые напрямую реализуют аттестацию ключей, а не используют Play Integrity API, следует подготовиться к предстоящей ротации корневых сертификатов платформы Android в феврале 2026 года, чтобы избежать сбоев. Разработчикам, использующим Play Integrity API, не нужно предпринимать никаких действий.

Проверка приложений Firebase. Разработчики, использующие Firebase, могут с помощью Проверки приложений Firebase получать оценку целостности приложения и устройства на основе Play Integrity API на сертифицированных устройствах Android, а также ответы от других поставщиков аттестации платформ. Чтобы обнаруживать другие угрозы и использовать дополнительные функции Google Play, интегрируйте Play Integrity API напрямую.

reCAPTCHA Enterprise. Корпоративные клиенты, которым нужно комплексное решение для защиты от мошенничества и ботов, могут приобрести reCAPTCHA Enterprise для мобильных устройств. reCAPTCHA Enterprise использует некоторые сигналы Play Integrity API, предназначенные для борьбы со злоупотреблениями, и комбинирует их с сигналами reCAPTCHA.

Защитите свой бизнес уже сегодня

Play Integrity API – это важный инструмент для защиты вашего бизнеса. Он основан на аппаратной безопасности и включает новые автоматизированные диалоговые окна для устранения неполадок, которые упрощают интеграцию.

Документация по Play Integrity API