Ativar ou desativar a proteção contra enumeração de e-mails
Este guia explica o recurso de proteção contra enumeração de e-mails e mostra como ativá-lo e desativá-lo. Se você criou o projeto a partir de 15 de setembro de 2023, a proteção contra enumeração de e-mails está ativada por padrão.
Visão geral
A enumeração de e-mails é um tipo de ataque de força bruta em que um agente malicioso tenta adivinhar ou confirmar usuários em um sistema passando um endereço de e-mail para a API e verificando a resposta.
Sem a proteção contra enumeração de e-mails, o Identity Platform retorna informações que podem ser usadas em um ataque de enumeração de e-mails:
É feita uma tentativa de login com um endereço de e-mail que não existe no sistema. O Identity Platform retorna um erro
EMAIL_NOT_FOUND
.É feita uma tentativa de inscrição com um endereço de e-mail que já existe no sistema. O Identity Platform retorna um erro
EMAIL_EXISTS
.
É possível usar o recurso de proteção contra enumeração de e-mails do Identity Platform para proteger as contas de usuário no seu app contra esses ataques.
Quando a proteção contra enumeração de e-mails está ativada, o projeto tem o seguinte comportamento:
A API
fetchSignInForEmail
vai falhar. A vinculação de usuários autenticados anônimos com um endereço de e-mail também não funciona em versões anteriores ao SDK 22.3.0 para Android, 10.18.0 para iOS e 10.6.0 para Web.Uma lista de métodos de login para um endereço de e-mail especificado não é mais retornada ao chamar a API REST
createAuthUri
ou o método do SDK de clientefetchSignInMethodsForEmail
em todas as plataformas.Os usuários não podem alterar o endereço de e-mail sem verificar primeiro o novo endereço. Por exemplo, não é mais possível alterar o endereço de e-mail de um usuário com a API REST
update
, a API RESTsetAccountInfo
ou o método do SDK de clienteupdateEmail
em todas as plataformas.Use o
verifyBeforeUpdateEmail
para Web e Android ou osendEmailVerification(beforeUpdatingEmail:)
para iOS.Não é mais possível usar a API REST
setAccountInfo
para vincular um provedor de e-mail/senha a uma conta de usuário. Não é mais possível usar o método do SDK do clientelinkWithCredential
com umEmailAuthCredential
em nenhuma plataforma. Use a API RESTsignUp
, transmitindo o token de ID do usuário no campoidToken
e os camposemail
epassword
para vincular.Remoção de respostas de erro para fluxos de verificação de e-mail, como aquelas iniciadas chamando a API REST
sendOobCode
com tipos de solicitaçãoVERIFY_AND_CHANGE_EMAIL
ouPASSWORD_RESET
e ao chamarverifyBeforeUpdateEmail
para Web e Android,sendEmailVerification(beforeUpdatingEmail:)
para iOS ou métodos do SDK do clientesendPasswordResetEmail
em todas as plataformas.Ao fazer uma solicitação de redefinição de senha, um e-mail de verificação será enviado somente se o endereço de e-mail existir. Ao fazer uma solicitação de alteração de endereço de e-mail, um e-mail de verificação será enviado somente se o endereço ainda não existir. Nos dois casos, não há mensagens de erro específicas indicando quando os e-mails não são enviados.
Recomendamos que você não permita que os usuários se inscrevam sem um fluxo de verificação de e-mail.
Casos de login inválidos retornam uma resposta de erro
INVALID_LOGIN_CREDENTIALS
. Os casos de inscrição inválidos continuam retornando errosEMAIL_EXISTS
. Consulte as recomendações na próxima seção.
Se o app depende de algum dos comportamentos alterados pela proteção de enumeração de e-mails, ele pode ser desativado. No entanto, isso não é recomendado a longo prazo. Consulte a seção a seguir.
Recomendações de segurança
Um dos métodos mais comuns para realizar um ataque de invasão de conta é realizar ataques de preenchimento de credenciais usando credenciais que vazam ou são fáceis de adivinhar. A enumeração de e-mails também pode ser usada para conseguir informações confidenciais sobre os usuários ou realizar ataques de phishing contra eles. Por esses motivos, o Google recomenda o uso do recurso de proteção contra enumeração de e-mails para proteger seus apps contra esses ataques.
Se você criou seu projeto a partir de 15 de setembro de 2023, a proteção contra enumeração de e-mails vai ser ativada por padrão. Recomendamos que você deixe a proteção contra enumeração de e-mails ativada e evite depender de nenhum dos comportamentos listados anteriormente neste guia.
Se você criou seu projeto antes de 15 de setembro de 2023, a proteção contra enumeração de e-mails não será ativada automaticamente.
Caso seus apps não dependam de nenhum dos comportamentos descritos anteriormente neste guia, recomendamos que você ative a proteção contra enumeração de e-mails imediatamente.
Caso seus apps dependam de algum dos comportamentos descritos anteriormente, recomendamos que você comece a migrar e ative a proteção contra enumeração de e-mails assim que possível.
Além de usar a proteção contra enumeração de e-mails, considere tomar medidas para
evitar o abuso dos endpoints de inscrição do seu projeto que continuam retornando
erros EMAIL_EXISTS
. Confira algumas maneiras de fazer isso:
- Ative o App Check.
- Integre o reCAPTCHA ao seu fluxo de inscrição.
- Não permitir o login com endereços de e-mail e senhas ou links de e-mail e usar métodos alternativos, como o Login do Google.
Ativar a proteção contra enumeração de e-mails
Para ativar a proteção contra enumeração de e-mails, siga estas etapas:
Console do Firebase
No Console do Firebase, acesse a página Configurações do Firebase Auth.
Acessar as configurações do Firebase Auth
No painel de navegação, selecione Ações do usuário.
Selecione Proteção contra enumeração de e-mails (recomendado).
Clique em Save.
Node.js
Instale o SDK Admin.
Para ativar a proteção contra enumeração de e-mails, use uma das seguintes opções:
Para proteção no nível do projeto:
import { getAuth } from 'firebase-admin/auth'; getAuth().projectConfigManager().updateProjectConfig( { emailPrivacyConfig: { enableImprovedEmailPrivacy: true, }, } );
Para proteção no nível do locatário:
import { getAuth } from 'firebase-admin/auth'; getAuth().tenantConfigManager().updateTenant(TENANT_ID, { emailPrivacyConfig: { enableImprovedEmailPrivacy: true, }, } );
Substitua
TENANT_ID
pelo ID do locatário para o qual você quer ativar a proteção contra enumeração de e-mails.
REST
No console do Google Cloud, imprima um token de acesso do ID do projeto usando o comando
gcloud auth print-access-token
:gcloud auth print-access-token --project=PROJECT_ID
Ative a proteção contra enumeração de e-mails no ID do projeto usando a API Identity Toolkit:
curl -X PATCH -d "{'emailPrivacyConfig':{'enableImprovedEmailPrivacy':true}}" \ -H 'Authorization: Bearer ACCESS_TOKEN' \ -H 'Content-Type: application/json' -H 'X-Goog-User-Project: PROJECT_ID' \ "https://identitytoolkit.googleapis.com/admin/v2/projects/PROJECT_ID/config?updateMask=emailPrivacyConfig"
Substitua:
- ACCESS_TOKEN: o token de acesso que você gerou anteriormente
- PROJECT_ID: ID do projeto;
Desativar a proteção contra enumeração de e-mails
Para desativar a proteção contra enumeração de e-mails, siga estas etapas:
Console do Firebase
No Console do Firebase, acesse a página Configurações do Firebase Auth.
Acessar as configurações do Firebase Auth
No painel de navegação, selecione Ações do usuário.
Desmarque Proteção contra enumeração de e-mails (recomendado).
Clique em Save.
Node.js
Instale o SDK Admin.
Para desativar a proteção contra enumeração de e-mails, use uma destas opções:
Para proteção no nível do projeto:
import { getAuth } from 'firebase-admin/auth'; getAuth().projectConfigManager().updateProjectConfig( { emailPrivacyConfig: { enableImprovedEmailPrivacy: false, }, } );
Para proteção no nível do locatário:
import { getAuth } from 'firebase-admin/auth'; getAuth().tenantConfigManager().updateTenant(TENANT_ID, { emailPrivacyConfig: { enableImprovedEmailPrivacy: false, }, } );
Substitua
TENANT_ID
pelo ID de locatário para o qual você quer desativar a proteção contra enumeração de e-mails.
REST
No console do Google Cloud, imprima um token de acesso do ID do projeto usando o comando
gcloud auth print-access-token
:gcloud auth print-access-token --project=PROJECT_ID
Desative a proteção contra enumeração de e-mails usando a API Identity Toolkit:
curl -X PATCH -d "{'emailPrivacyConfig':{'enableImprovedEmailPrivacy':false}}" \ -H 'Authorization: Bearer ACCESS_TOKEN' \ -H 'Content-Type: application/json' -H 'X-Goog-User-Project: PROJECT_ID' \ "https://identitytoolkit.googleapis.com/admin/v2/projects/PROJECT_ID/config?updateMask=emailPrivacyConfig"
Substitua:
- ACCESS_TOKEN: o token de acesso que você gerou anteriormente
- PROJECT_ID: ID do projeto;
Exemplo de uma resposta de erro
Se um usuário tentar fazer login com um endereço de e-mail ou senha incorreta ou se inscrever com um endereço de e-mail que já existe no sistema, o Identity Platform retornará um erro semelhante a este:
{
"code": "auth/internal-error",
"message": "{\"error\":{\"code\":400,\"message\":\"INVALID_LOGIN_CREDENTIALS\",\"errors\":[{\"message\":\"INVALID_LOGIN_CREDENTIALS\",\"domain\":\"global\",\"reason\":\"invalid\"}]}}"
}