Supervisa las métricas de reCAPTCHA

En este documento, se describen las métricas de reCAPTCHA que emite Identity Platform como resultado de la integración de Identity Platform con la API de reCAPTCHA Enterprise y cómo verlas con Cloud Monitoring.

Métricas de reCAPTCHA

Después de configurar la integración de Identity Platform con la API de reCAPTCHA Enterprise y, de manera opcional, habilitar la protección contra el fraude de cargos telefónicos por SMS de reCAPTCHA, puedes supervisar las métricas de reCAPTCHA que emite tu proyecto para asegurarte de que tus flujos de autenticación estén protegidos. Si falla el aprovisionamiento de claves de reCAPTCHA o si no se crearon las cuentas de servicio requeridas, la autenticación de reCAPTCHA fallará.

Si habilitaste la protección de reCAPTCHA contra bots o la protección contra el fraude de cargos telefónicos por SMS en el modo de auditoría, supervisar las métricas de reCAPTCHA te ayudará a determinar si puedes habilitar la aplicación. Debes tener en cuenta lo siguiente antes de habilitar la aplicación forzosa:

  • Si la mayoría de las solicitudes recientes tienen tokens válidos y la proporción de veredictos PASSED a FAILED_AUDIT o FAILED_ENFORCE es aceptable para tu caso de uso, considera habilitar la aplicación forzosa.
  • Si es probable que la mayoría de las solicitudes recientes provengan de clientes desactualizados, considera esperar a que más usuarios actualicen su app antes de habilitar la aplicación forzosa. La aplicación forzosa de la integración de Identity Platform con la API de reCAPTCHA Enterprise produce errores en las versiones anteriores de la app que no están integradas en reCAPTCHA.

Para asegurarte de que las funciones de integración funcionen según lo previsto, puedes examinar las siguientes métricas que tu proyecto emite a Cloud Monitoring.

identitytoolkit.googleapis.com/recaptcha/verdict_count

Esta métrica realiza un seguimiento de los diferentes veredictos que muestra reCAPTCHA. Se genera un veredicto si hay un token presente. Puedes filtrar según los siguientes veredictos:

  • PASSED: Indica que se permite una solicitud determinada cuando la aplicación forzosa está habilitada.
  • FAILED_AUDIT: Indica que se rechaza una solicitud determinada cuando se habilita el modo de auditoría de reCAPTCHA.
  • FAILED_ENFORCE: Indica que se rechaza una solicitud determinada cuando está habilitado el modo de aplicación de reCAPTCHA.
  • CLIENT_TYPE_MISSING: Indica que una solicitud determinada tiene un tipo de cliente faltante cuando la aplicación forzosa de reCAPTCHA está habilitada. Por lo general, este error se produce si se envió una solicitud con una versión desactualizada del SDK cliente que no es compatible con reCAPTCHA.
  • KEYS_MISSING: Indica que no se puede verificar una solicitud determinada porque Identity Platform no puede recuperar claves de reCAPTCHA válidas cuando la aplicación forzosa de reCAPTCHA está habilitada.

Para modificar los rangos de puntuación y cambiar la proporción de veredictos aprobados y no aprobados, consulta Cómo habilitar la protección de reCAPTCHA contra bots.

identitytoolkit.googleapis.com/recaptcha/token_count

Esta métrica realiza un seguimiento de la cantidad y el estado de los tokens de reCAPTCHA que recibe el backend de Identity Platform. Puedes filtrar por los siguientes estados:

  • VALID: Indica que el token de reCAPTCHA que se pasó es válido.
  • EXPIRED: Indica que el token de reCAPTCHA que se pasó caducó. Un token vencido puede indicar problemas de red del cliente o abuso.
  • DUPLICATE: Indica que el token de reCAPTCHA que se pasó es un duplicado. Un token duplicado puede indicar problemas de red del cliente o abuso.
  • INVALID: Indica que el token de reCAPTCHA que se pasó es no válido. Un token no válido puede indicar un abuso.
  • MISSING: Indica que el token de reCAPTCHA no existe en la solicitud determinada. La falta de tokens puede indicar que la app cliente está desactualizada.
  • UNCHECKED: Indica que no se verificó el token de reCAPTCHA debido a los veredictos CLIENT_TYPE_MISSING o KEYS_MISSING.

Si tu app se lanzó correctamente a los usuarios, verás tráfico con tokens válidos. Es probable que la cantidad de tokens válidos sea proporcional a la cantidad de usuarios que usan tu app actualizada.

identitytoolkit.googleapis.com/recaptcha/risk_scores

Esta métrica realiza un seguimiento de la distribución de la puntuación de reCAPTCHA. Esto puede ayudarte a definir los rangos de puntuación óptimos para la configuración de protección contra bots.

identitytoolkit.googleapis.com/recaptcha/sms_tf_risk_scores

Esta métrica realiza un seguimiento de la distribución de la puntuación de riesgo de protección contra fraude de cargos telefónicos por SMS de un proyecto de Identity Platform en particular. Esto puede ayudarte a definir los rangos de puntuación óptimos para la configuración de la protección contra fraude de cargos telefónicos por SMS.

Cómo ver las métricas de reCAPTCHA

Para ver las métricas de reCAPTCHA con Cloud Monitoring, haz lo siguiente:

  1. En la consola de Google Cloud, ve a la página Explorador de métricas.

    Dirígete al Explorador de métricas

  2. En Selecciona una métrica, ingresa Identity Toolkit Tenant. Si usas la multitenancy, puedes ver las métricas de cada inquilino, así como el proyecto superior, si dejas tenant_name vacío.

¿Qué sigue?