Phát hiện mối đe doạ hiệu quả hơn, tích hợp đơn giản hơn: Bảo vệ đà tăng trưởng của bạn bằng Play Integrity API

Trong hệ sinh thái di động, hành vi sai trái có thể đe doạ đến doanh thu, sự tăng trưởng và lòng tin của người dùng. Để giúp nhà phát triển phát triển mạnh mẽ, Google Play cung cấp một dịch vụ phát hiện mối đe doạ linh hoạt, đó là Play Integrity API. Play Integrity API giúp bạn xác minh rằng các lượt tương tác và yêu cầu gửi tới máy chủ là thật – đến từ ứng dụng chưa sửa đổi của bạn trên một thiết bị Android được chứng nhận, do Google Play cài đặt.

Tác động này rất đáng kể: những ứng dụng dùng các tính năng Play Integrity có tỷ lệ sử dụng trái phép giảm trung bình 80% so với những ứng dụng khác. Hiện nay, các công ty hàng đầu trong nhiều lĩnh vực (bao gồm Uber, TikTok, Stripe, Kabam, Wooga, Radar.com, Zimperium, Paytm và Remini) đều sử dụng dịch vụ này để bảo vệ hoạt động kinh doanh của họ.

Chúng tôi đang tiếp tục cải thiện Play Integrity API để giúp bạn dễ dàng tích hợp, tăng khả năng chống lại các cuộc tấn công tinh vi và khôi phục tốt hơn những người dùng không đáp ứng tiêu chuẩn về tính toàn vẹn hoặc gặp lỗi, thông qua lời nhắc khắc phục mới trong ứng dụng của Play.

Phát hiện các mối đe doạ đối với doanh nghiệp của bạn

Play Integrity API cung cấp các kết quả đánh giá được thiết kế để phát hiện những mối đe doạ cụ thể ảnh hưởng đến lợi nhuận của bạn trong các hoạt động tương tác quan trọng.

• Hành vi truy cập trái phép: Kết quả accountDetails giúp bạn xác định xem người dùng đã cài đặt hoặc thanh toán cho ứng dụng hoặc trò chơi của bạn trên Google Play hay chưa.
• Hành vi can thiệp vào mã: Kết quả appIntegrity giúp bạn xác định xem bạn có đang tương tác với tệp nhị phân chưa sửa đổi mà Google Play nhận dạng được hay không.
• Thiết bị có rủi ro và môi trường mô phỏng: Kết quả deviceIntegrity giúp bạn xác định xem ứng dụng có đang chạy trên một thiết bị Android chính hãng đã được Play Protect chứng nhận hay một phiên bản chính hãng của Google Play Games dành cho máy tính hay không.
• Thiết bị chưa có bản vá: Đối với các thiết bị chạy Android 13 trở lên, phản hồi MEETS_STRONG_INTEGRITY trong kết quả deviceIntegrity giúp bạn xác định xem một thiết bị đã áp dụng các bản cập nhật bảo mật gần đây hay chưa. Bạn cũng có thể chọn sử dụng deviceAttributes để đưa phiên bản SDK Android đã chứng thực vào phản hồi.
• Rủi ro khi các ứng dụng khác truy cập: appAccessRiskVerdict giúp bạn xác định xem có ứng dụng nào đang chạy có thể được dùng để ghi lại màn hình, hiển thị lớp phủ hoặc điều khiển thiết bị (ví dụ: bằng cách sử dụng sai quyền hỗ trợ tiếp cận) hay không. Kết quả này tự động loại trừ những ứng dụng phục vụ mục đích hỗ trợ tiếp cận chính đáng.
• Phần mềm độc hại đã biết: playProtectVerdict giúp bạn xác định xem Google Play Protect đã được bật hay chưa, cũng như liệu Google Play Protect có tìm thấy trên thiết bị này ứng dụng nào gây rủi ro hoặc nguy hiểm hay không.
• Hoạt động quá mức: Cấp recentDeviceActivity giúp bạn xác định xem gần đây một thiết bị có thực hiện số lượng yêu cầu mã thông báo về tính toàn vẹn cao bất thường hay không. Đây có thể là dấu hiệu cho thấy lưu lượng truy cập tự động và có thể là dấu hiệu của một cuộc tấn công.
• Hành vi sai trái lặp lại và thiết bị được dùng lại: deviceRecall (thử nghiệm) giúp bạn xác định xem bạn có đang tương tác với một thiết bị mà bạn đã gắn cờ trước đây hay không, ngay cả khi ứng dụng của bạn được cài đặt lại hoặc thiết bị được đặt lại. Với tính năng ghi nhớ thiết bị, bạn có thể tuỳ chỉnh các hành động lặp lại mà bạn muốn theo dõi.

Bạn có thể sử dụng API này trên nhiều hệ số hình dạng Android, bao gồm cả điện thoại, máy tính bảng, thiết bị có thể gập lại, Android Auto, Android TV, Android XR, ChromeOS, Wear OS và trên Google Play Games dành cho máy tính.

Khai thác tối đa API Tính toàn vẹn của Play

Các ứng dụng và trò chơi đã gặt hái thành công nhờ API Tính toàn vẹn của Play bằng cách tuân thủ các yếu tố nên cân nhắc về bảo mật và áp dụng phương pháp tiếp cận theo giai đoạn cho chiến lược chống hành vi sai trái.

Bước 1: Quyết định nội dung bạn muốn bảo vệ: Quyết định những hành động và yêu cầu máy chủ nào trong ứng dụng và trò chơi của bạn là quan trọng để xác minh và bảo vệ. Ví dụ: bạn có thể thực hiện quy trình kiểm tra tính toàn vẹn khi người dùng chạy ứng dụng, đăng nhập, tham gia trò chơi nhiều người chơi, tạo nội dung bằng AI hoặc chuyển tiền.

Bước 2: Thu thập phản hồi về kết quả kiểm tra tính toàn vẹn: Thực hiện kiểm tra tính toàn vẹn vào những thời điểm quan trọng để bắt đầu thu thập dữ liệu kết quả, ban đầu không thực thi. Bằng cách đó, bạn có thể phân tích các phản hồi cho số lượt cài đặt và xem mối tương quan giữa các phản hồi đó với tín hiệu hành vi sai trái hiện có và dữ liệu hành vi sai trái trước đây.

Bước 3: Quyết định chiến lược thực thi: Quyết định chiến lược thực thi dựa trên kết quả phân tích các phản hồi và những gì bạn đang cố gắng bảo vệ. Ví dụ: bạn có thể thay đổi lưu lượng truy cập có rủi ro vào những thời điểm quan trọng để bảo vệ chức năng nhạy cảm. API này cung cấp nhiều phản hồi để bạn có thể triển khai chiến lược thực thi theo cấp dựa trên mức độ tin cậy mà bạn dành cho mỗi tổ hợp phản hồi.

Bước 4: Triển khai dần biện pháp thực thi và hỗ trợ người dùng: Triển khai dần biện pháp thực thi. Có chiến lược thử lại khi kết quả đánh giá có vấn đề hoặc không có sẵn, đồng thời chuẩn bị sẵn sàng để hỗ trợ những người dùng tốt gặp vấn đề. Lời nhắc khắc phục sự cố trong ứng dụng mới của Play (được mô tả bên dưới) giúp bạn dễ dàng hơn bao giờ hết trong việc đưa người dùng gặp sự cố trở lại trạng thái bình thường.

MỚI: Để Play tự động khôi phục người dùng gặp vấn đề

Việc quyết định cách phản hồi các tín hiệu về tính toàn vẹn có thể rất phức tạp, bạn cần xử lý nhiều phản hồi về tính toàn vẹn và mã lỗi API (chẳng hạn như vấn đề về mạng hoặc Dịch vụ Play đã lỗi thời). Chúng tôi đang đơn giản hoá quy trình này bằng lời nhắc khắc phục sự cố trong ứng dụng của Play. Bạn có thể cho người dùng thấy lời nhắc của Google Play để tự động khắc phục nhiều vấn đề ngay trong ứng dụng. Việc này giúp giảm bớt sự phức tạp khi tích hợp, đảm bảo giao diện người dùng nhất quán và giúp nhiều người dùng trở lại trạng thái tốt.

GET_INTEGRITY tự động phát hiện vấn đề (trong ví dụ này là lỗi mạng) và giải quyết vấn đề đó.

Bạn có thể kích hoạt hộp thoại GET_INTEGRITY (có trong thư viện Play Integrity API phiên bản 1.5.0 trở lên) sau khi gặp một loạt vấn đề để tự động hướng dẫn người dùng thực hiện các biện pháp khắc phục cần thiết, bao gồm:

• Truy cập trái phép: GET_INTEGRITY hướng dẫn người dùng quay lại phản hồi được cấp phép của Play trong accountDetails.
• Hành vi can thiệp vào mã: GET_INTEGRITY hướng dẫn người dùng quay lại phản hồi mà Play nhận dạng được trong appIntegrity.
• Vấn đề về tính toàn vẹn của thiết bị: GET_INTEGRITY hướng dẫn người dùng cách quay lại trạng thái MEETS_DEVICE_INTEGRITY trong deviceIntegrity.
• Mã lỗi có thể khắc phục: GET_INTEGRITY giải quyết các lỗi API có thể khắc phục, chẳng hạn như nhắc người dùng khắc phục lỗi kết nối mạng hoặc cập nhật Dịch vụ Google Play.

Chúng tôi cũng cung cấp các hộp thoại chuyên biệt, bao gồm GET_STRONG_INTEGRITY (hoạt động giống như GET_INTEGRITY, đồng thời đưa người dùng trở lại trạng thái MEETS_STRONG_INTEGRITY mà không có vấn đề nào về phần mềm độc hại đã biết trong playProtectVerdict), GET_LICENSED (đưa người dùng trở lại trạng thái được Play cấp phép và công nhận) và CLOSE_UNKNOWN_ACCESS_RISK và CLOSE_ALL_ACCESS_RISK (nhắc người dùng đóng các ứng dụng có thể gây rủi ro).

Chọn các giải pháp hiện đại về tính toàn vẹn

Ngoài API Tính toàn vẹn của Play, Google còn cung cấp một số tính năng khác mà bạn có thể cân nhắc sử dụng trong chiến lược chống hành vi sai trái tổng thể. Cả API Tính toàn vẹn của Play và tính năng tự động bảo vệ của Play đều mang lại lợi ích cho trải nghiệm người dùng và nhà phát triển trong việc bảo vệ hoạt động phân phối ứng dụng. Bạn nên di chuyển các ứng dụng hiện có sang những giải pháp hiện đại này để đảm bảo tính toàn vẹn thay vì sử dụng thư viện cấp phép cũ của Play.

Tự động bảo vệ: Ngăn chặn hành vi truy cập trái phép bằng tính năng tự động bảo vệ của Google Play và đảm bảo người dùng tiếp tục nhận được các bản cập nhật ứng dụng chính thức của bạn. Khi bạn bật tính năng này, Google Play sẽ tự động thêm quy trình kiểm tra trình cài đặt vào mã nguồn ứng dụng của bạn mà không yêu cầu nhà phát triển phải tích hợp. Nếu ứng dụng được bảo vệ của bạn được phân phối lại hoặc chia sẻ thông qua một kênh khác, thì người dùng sẽ được nhắc tải ứng dụng của bạn từ Google Play. Những nhà phát triển đủ điều kiện trên Play cũng có thể sử dụng tính năng bảo vệ chống giả mạo nâng cao của Play. Tính năng này sử dụng kỹ thuật làm rối mã nguồn và kiểm tra trong thời gian chạy để khiến kẻ tấn công gặp nhiều khó khăn và tốn kém hơn khi sửa đổi và phân phối lại các ứng dụng được bảo vệ.

Chứng thực khoá nền tảng Android: API Tính toàn vẹn của Play là cách nên dùng để hưởng lợi từ tính năng chứng thực khoá nền tảng Android dựa trên phần cứng. Play Integrity API đảm nhận việc triển khai cơ bản trên toàn hệ sinh thái thiết bị, Play tự động giảm thiểu các vấn đề và sự cố liên quan đến khoá, đồng thời bạn có thể sử dụng API này để phát hiện các mối đe doạ khác. Những nhà phát triển trực tiếp triển khai quy trình chứng thực khoá thay vì dựa vào Play Integrity API nên chuẩn bị cho đợt luân chuyển chứng chỉ gốc sắp tới của Nền tảng Android vào tháng 2 năm 2026 để tránh bị gián đoạn (nhà phát triển sử dụng Play Integrity API không cần làm gì cả).

Kiểm tra ứng dụng Firebase: Nhà phát triển sử dụng Firebase có thể dùng tính năng Kiểm tra ứng dụng Firebase để nhận kết quả đánh giá về tính toàn vẹn của ứng dụng và thiết bị do Play Integrity API cung cấp trên các thiết bị Android được chứng nhận, cùng với phản hồi từ các nhà cung cấp dịch vụ chứng thực nền tảng khác. Để phát hiện tất cả các mối đe doạ khác và sử dụng các tính năng khác của Play, hãy tích hợp trực tiếp Play Integrity API.

reCAPTCHA Enterprise: Khách hàng doanh nghiệp đang tìm kiếm một giải pháp hoàn chỉnh để quản lý bot và hành vi gian lận có thể mua reCAPTCHA Enterprise cho thiết bị di động. reCAPTCHA Enterprise sử dụng một số tín hiệu chống hành vi sai trái của Play Integrity API và kết hợp các tín hiệu đó với tín hiệu của reCAPTCHA ngay từ đầu.

Bảo vệ doanh nghiệp của bạn ngay hôm nay

Với nền tảng vững chắc về bảo mật dựa trên phần cứng và các hộp thoại khắc phục tự động mới giúp đơn giản hoá việc tích hợp, Play Integrity API là một công cụ thiết yếu để bảo vệ sự phát triển của bạn.

Bắt đầu sử dụng tài liệu về Play Integrity API.