Übersicht über die Play Integrity API

Mit der Play Integrity API kannst du prüfen, ob Interaktionen und Serveranfragen die von einem echten App-Binärprogramm stammen, das auf einem echten Android-Gerät ausgeführt wird. Von potenziell riskante und betrügerische Interaktionen, z. B. durch manipulierte, und nicht vertrauenswürdigen Umgebungen verwendet werden, kann der Back-End-Server Ergreifen Sie geeignete Maßnahmen, um Angriffe zu verhindern und Missbrauch zu reduzieren.

Wenn Ihre App oder Ihr Spiel auf einem Android-Gerät mit dem Google Play Store verwendet wird die von den Google Play-Diensten unterstützt wird, bietet die Play Integrity API eine Antwort mit dem du feststellen kannst, ob du mit Folgendem interagierst:

• Echtes App-Binärprogramm:Ermitteln Sie, ob Sie mit Ihrem unverändertes Binärprogramm, das Google Play erkennt.
• Echte Play-Installation:Prüfen Sie, ob das aktuelle Nutzerkonto lizenziert, was bedeutet, dass der Nutzer deine App oder dein Spiel installiert oder dafür bezahlt hat bei Google Play.
• Echtes Android-Gerät:Prüfen Sie, ob Ihre App auf einem Ein echtes Android-Gerät mit Google Play-Diensten (oder ein echtes Instanz von Google Play Spiele für PC).

Sie können sich auch für Informationen zur Umgebung entscheiden. in Ihrer Play Integrity API-Antwort enthalten, einschließlich:

• Risiko des App-Zugriffs:Ermitteln Sie, ob Apps ausgeführt werden, die möglicherweise verwendet werden, um den Bildschirm zu erfassen, Overlays anzuzeigen oder das Gerät zu steuern.
• Risiko durch bekannter Malware:Prüfen Sie, ob Google Play Protect aktiviert ist. und ob riskante oder gefährliche Apps gefunden wurden, die auf dem Gerät installiert sind.

Übersicht

Wenn ein Nutzer eine Aktion in deiner App ausführt, kannst du die Play Integrity API aufrufen überprüfen, ob es in Ihrem echten App-Binärprogramm, das von Google Play installiert wurde, passiert ist, auf einem echten Android-Gerät ausgeführt wird. Sie können auch zusätzliche Informationen in der Antwort, einschließlich der Anzahl der Anfragen, die ein Gerät gestellt hat und Signale zur Umgebung, einschließlich des Risikos von App-Zugriffen, und das Play Protect-Ergebnis. Wenn mit den Ergebnissen etwas nicht stimmt, kann der Back-End-Server Ihrer App entscheiden, wie er Probleme schützt. wie Missbrauch und Betrug, Missbrauch und Betrug, nicht autorisierten Zugriff und Angriffe.

Sicherheitsaspekte

Die Play Integrity API bietet den größten Nutzen für deine App, wenn du diese Richtlinien befolgst Empfohlene Vorgehensweisen:

Strategie gegen Missbrauch

Die Play Integrity API funktioniert am besten, wenn sie zusammen mit anderen Signalen als Teil der und nicht als einziges Verfahren zur Bekämpfung von Missbrauch. Verwenden Sie dieser API in Verbindung mit anderen geeigneten Best Practices für Sicherheit Best Practices für Ihre App. Standardmäßig werden in Ihrer App können insgesamt bis zu 10.000 Anfragen pro Tag über alle Installationen hinweg erfolgen. Sie können Beantragen Sie mehr tägliche Maximum

Telemetriedaten erheben und Zielgruppen besser verstehen, bevor sie aktiv werden

Bevor du das Verhalten deiner App basierend auf den Ergebnissen der Play Integrity API änderst, hast du folgende Möglichkeiten: die aktuelle Situation mit Ihrer Zielgruppe besser zu verstehen, API ohne Erzwingung. Sobald Sie wissen, was Ihre aktuelle Installationsbasis wiederkehrt, können Sie die Auswirkungen aller geplanten und Ihre Strategie entsprechend anpassen.

Entscheiden, wie Integritätsergebnisse angefordert werden

Die Play Integrity API bietet zwei Optionen zum Anfordern und Empfangen der Integrität Ergebnisse. Ob Sie Standardanfragen, klassische Anfragen oder eine Kombination aus wird das Integritätsergebnis im Feld im selben Format.

API-Standardanfragen sind für alle Apps und Spiele geeignet und können über um zu überprüfen, ob Nutzeraktionen oder Serveranfragen echt sind. Standardzugriff Anfragen haben die niedrigste Latenz (im Durchschnitt einige hundert Millisekunden) und eine brauchbare Ergebnisse zu erzielen. Für Standardanfragen wird Folgendes verwendet: intelligentes Caching auf dem Gerät und delegieren den Schutz vor bestimmten Arten von Angriff auf Google Play.

Klassische API-Anfragen, die ursprüngliche Methode zum Anfordern von Integritätsergebnissen, weiterhin verfügbar sind. Klassische Anfragen haben eine höhere Latenz (einige Sekunden auf und Sie sind dafür verantwortlich, das Risiko bestimmter Arten . Klassische Anfragen verbrauchen mehr Daten und Akkukapazität als Standardanfragen da sie eine neue Bewertung initiieren und daher selten als einmalige Aktion zur Überprüfung, ob es sich um eine höchst sensible oder wertvolle Aktion handelt. echt sind. Wenn Sie eine klassische Anfrage stellen und verwenden, sollten Sie stattdessen eine Standardanfrage senden, um .

In der folgenden Tabelle werden einige wichtige Unterschiede zwischen den beiden Arten von Anfragen:

Eine Tabelle mit weiteren Unterschieden finden Sie unter Überlegungen zu klassischen Anfragen.

Zum richtigen Zeitpunkt ein Integritätsergebnis anfordern

Sie sollten so zeitnah wie möglich ein Ergebnis zum Risiko des App-Zugriffs anfordern der Aktion oder Serveranforderung, die Sie vor einem Zugriff schützen möchten, um zu verhindern, dass Betrüger die Integritätsprüfung Ihres

Erschwert die Replikation von API-Anfragen

Standard-API-Anfragen haben ein Feld namens requestHash, das zum Schutz vor Manipulation und ähnlichen Angriffen. Geben Sie in dieses Feld Folgendes ein: Digest aller relevanten Werte aus der Anfrage Ihrer App. Folgen Sie der Anleitung auf Wie verwende ich die Inhaltsbindung? um die Standardanfragen deiner App zu schützen.

Klassische API-Anfragen haben ein Feld namens nonce (kurz für „Number einmal“), das wird zum Schutz vor bestimmten Arten von Angriffen wie Replay und Manipulationsangriffen. Folgen Sie der Anleitung zum Erstellen Nonces zum Schutz der klassischen Version deiner App -Anfragen.

Caching-Integritätsergebnisse vermeiden

Das Caching von Integritätsergebnissen erhöht das Risiko von Proxying, also einem Angriff. in denen ein böswilliger Akteur ein Ergebnis eines guten Geräts für missbräuchliche Zwecke in einer anderen Umgebung. Anstatt Antworten im Cache zu speichern, können Sie eine Standard-API erstellen, fordere auf Anforderung ein Ergebnis an.

Gestaffelte Erzwingungsstrategie

Das Integritätsergebnis der Play Integrity API hat eine Reihe möglicher Antworten So lässt sich eine Strategie zur Missbrauchsbekämpfung mit mehreren Ebenen die Durchsetzung der Richtlinien. Konfigurieren Sie dazu den Backend-Server Ihrer App so, dass er je nach möglicher Antwort oder Gruppe von Antworten unterschiedlich.

Sie können die Erzwingungsstrategie auch auf Grundlage des Geräts festlegen. Vertrauenswürdigkeit, indem Sie die Option zum Erhalt zusätzlicher Geräte Labels in Ihrer API von der Play Console erhalten. Jedes Gerät gibt alle Labels zurück, die erfüllt sind. Wenn Sie beispielsweise zugestimmt haben, können Sie ein Gerät als vertrauenswürdig einstufen, das MEETS_STRONG_INTEGRITY, MEETS_DEVICE_INTEGRITY und MEETS_BASIC_INTEGRITY mehr als ein Gerät, das nur MEETS_BASIC_INTEGRITY zurückgibt. Du kannst antworten vom Server unterscheiden.

Mehrere Antworten vom Server an die App senden

Eine Reihe von Entscheidungsergebnissen lässt sich schwerer replizieren als das Senden eines Binärprogramms. Antwort vom Server an die App für jede Antwort zulassen/ablehnen. Für können Sie eine Reihe verwandter Antworten wie „Zulassen“ und „Zulassen mit „Limits nach CAPTCHA-Abschluss“ und „Ablehnen“.

Umfassenden Missbrauch anhand der letzten Geräteaktivitäten erkennen

Mit der Funktion Letzte Geräteaktivität in der Play Integrity API kannst du Geräte, die eine große Anzahl von Integritätstokens anfordern Aktivitäten mit hohem Volumen Nutzer generieren in der Regel gültige Attestierungsergebnisse von echten Geräten und zur Automatisierung von Angriffen auf gerootete Geräte und Emulatoren. Anhand des Aktivitätslevels der letzten Geräte können Sie sehen, Attestierungen wurden in der letzten Stunde von Ihrer App auf diesem Gerät generiert.

Umsetzbare Fehlermeldungen anzeigen

Liefern Sie dem Nutzer nach Möglichkeit nützliche Fehlermeldungen wie es behoben werden kann. wie z. B. neue Versuche, die Internetverbindung zu aktivieren oder ob die Play Store App auf dem neuesten Stand ist.

Planen Sie unerwartete Probleme oder Ausfälle ein

Auf dem Google Play-Status-Dashboard Informationen zum Dienststatus der Play Integrity API und Informationen zu Störungen und Ausfällen. Sie sollten im Voraus planen, Sie möchten, dass Ihr Backend-Server im unwahrscheinlichen Fall einer größeren Ausfall der Play Integrity API.

End-to-End-Betrugslösungen für Unternehmen in Betracht ziehen

Unternehmenskunden, die nach einer umfassenden Lösung für das Betrugs- und Bot-Management suchen können reCAPTCHA kaufen Enterprise für Mobilgeräte entwickelt, umfasst SDKs für Android-Gerät in denen Entwicklern Bewertungen zum Betrugsrisiko angezeigt werden. reCAPTCHA Enterprise wird automatisch enthält Play Integrity API-Signale und kombiniert sie mit dem reCAPTCHA-Netzwerk und App-Signale für Kunden, was einen reibungslosen, unsichtbaren Betrug ermöglicht. sofort einsatzbereite Verwaltungslösung. Sie bietet auch Schutz für Android-Geräte Apps, für die die Play Integrity API nicht verfügbar ist

Beim Zugriff auf hochwertige oder sensible Funktionen riskante Zugriffe herausfordern

Ermittle hochwertige oder sensible Aktionen in deiner App oder deinem Spiel, die du mit dem Play Integrity API verwenden, anstatt den Zugriff vollständig zu verweigern. Fordern Sie nach Möglichkeit riskanter Traffic vor der Zulassung hochwertiger Aktionen. Wenn beispielsweise Das Risiko eines App-Zugriffs deutet darauf hin, dass eine App ausgeführt wird, die den Bildschirm zu aktivieren, bitten Sie den Nutzer, Apps zu deaktivieren oder zu deinstallieren, die den Bildschirm erfassen können. bevor sie zu den Funktionen gelangen, die Sie schützen möchten.

Nutzungsbedingungen und Datensicherheit

Durch den Zugriff auf oder die Verwendung der Play Integrity API stimmst du den Play Integrity API zu API-Nutzungsbedingungen. Bitte lesen und verstehen Sie bevor Sie auf die API zugreifen.

Bei Google Play gibt es einen Abschnitt zur Datensicherheit, in dem Entwickler die Erhebung, Weitergabe und Sicherheit von Daten, um Ihre Nutzer auf dem Laufenden zu halten. Bis Ihnen beim Ausfüllen Ihres Datenformulars helfen, erhalten Sie unter Wie das Google Play-Team Die Integrity API verarbeitet Daten.