Realiza la integración en Google Cloud Armor para aplicaciones para dispositivos móviles

En este documento, se muestra cómo integrar las funciones de WAF de reCAPTCHA Enterprise con Google Cloud Armor en aplicaciones para dispositivos móviles.

Para completar la integración, debes implementar una o más funciones de reCAPTCHA Enterprise para WAF y configurar las políticas de seguridad de Google Cloud Armor. Sin embargo, solo puedes implementar tokens de acción de reCAPTCHA para integrar a Google Cloud Armor en aplicaciones para dispositivos móviles.

Antes de comenzar

1. Habilita la API de reCAPTCHA Enterprise.

   Habilita la API

2. Identifica las acciones que quieres proteger.

Implementa tokens de acción de reCAPTCHA

Debes tener reCAPTCHA Enterprise ejecutándose en tu aplicación para dispositivos móviles a fin de generar tokens de acción. Después de que reCAPTCHA Enterprise genere un token de acción, debes adjuntarlo a un encabezado de solicitud predefinido en cualquier lugar en el que necesites proteger cualquier acción del usuario, como checkout. De forma predeterminada, los tokens de acción son válidos por 30 minutos, pero pueden variar según el tráfico. Debes adjuntar el token de acción a un encabezado de solicitud predefinido antes de que venza, para que Google Cloud Armor pueda evaluar los atributos del token.

Para implementar un token de acción de reCAPTCHA, haz lo siguiente:

1. Crea una clave de token de acción para tu aplicación para dispositivos móviles.

   Console

   1. En la consola de Google Cloud, ve a la página de reCAPTCHA Enterprise.

      Ir a reCAPTCHA Enterprise

   2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos en la parte superior de la página.

      Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

   3. Haz clic en Crear clave.

      
   4. En el campo Nombre visible, ingresa el nombre visible para la clave.
   5. Según el tipo de aplicación para la que desees crear las claves de reCAPTCHA para WAF, realiza la acción correspondiente:
   Nota: Solo se admite la creación de claves reCAPTCHA para WAF en aplicaciones para dispositivos móviles para la integración con Google Cloud Armor. Para esta integración, solo puedes crear claves de token de acción para aplicaciones para dispositivos móviles.

   Crea claves reCAPTCHA de WAF para aplicaciones para iOS

   Te recomendamos que crees una clave de reCAPTCHA por cada aplicación para iOS.

   1. En el menú Elegir tipo de plataforma, selecciona App para iOS.
      
   1. En la sección Lista de ID del paquete de iOS, haz clic en Agregar ID del paquete de iOS.

   2. En el campo ID del paquete, ingresa el nombre del ID del paquete de iOS.

   3. Opcional: Para agregar un ID del paquete adicional, haz clic en Agregar ID del paquete de iOS y, luego, ingresa el nombre del ID del paquete de iOS en el campo ID del paquete.

   4. Opcional: Proporciona la configuración para desarrolladores de Apple.

      Recomendamos proporcionar estos datos porque permiten que reCAPTCHA Enterprise proporcione puntuaciones de riesgo más precisas para tu tráfico.

      Ingresa la siguiente información:

      • Clave privada (.p8): Se genera en Developer Center de Apple, en la sección Certificates, Identifiers & Profiles.
      • Identificador de clave: Es el identificador de clave de desarrollador de Apple (string de 10 caracteres).
      • ID de equipo: El ID del equipo de Apple (string de 10 caracteres) que posee el perfil de aprovisionamiento que se usa para compilar tu aplicación.
   5. Expande Tipo de clave y verificación de ID del paquete.
      1. Si deseas crear una clave reCAPTCHA para WAF, haz lo siguiente:
         1. Activa el botón de activación Firewall de aplicación web (WAF).
         2. En el menú Servicio, selecciona Cloud Armor.
         3. En el menú Feature, selecciona Action token.
      2. Para proteger la clave reCAPTCHA de tus IDs de paquete, asegúrate de que el botón de activación Inhabilitar la verificación de ID del paquete esté desactivado.

      3. En tu entorno que no es de producción, si deseas especificar una puntuación que quieres que la clave muestre cuando se creen evaluaciones para ella, haz lo siguiente:

         1. Haz clic en el botón de activación Esta es una clave de prueba.
         2. En el cuadro Score, especifica una puntuación entre 0 y 1.0.
   6. Haz clic en Crear clave.

   La nueva clave aparecerá en la página de claves de reCAPTCHA.

   Crea claves reCAPTCHA de WAF para aplicaciones para Android

   1. En el menú Choose platform type, selecciona Android app.
      
   2. En la sección Android package list, haz clic en Add Android package.

   3. En el campo Paquete de Android, ingresa el nombre de tu paquete de Android.

      
   4. Opcional: Para agregar un paquete adicional, haz clic en Agregar paquete de Android e ingresa el nombre de otro paquete de Android en el campo Paquete de Android.
   5. Expande Verificación de nombres de paquetes, distribución de apps y claves de prueba.
   1. Si deseas crear una clave reCAPTCHA para WAF, haz lo siguiente:
      1. Activa el botón de activación Firewall de aplicación web (WAF).
      2. En el menú Servicio, selecciona Cloud Armor.
      3. En el menú Feature, selecciona Action token.
   2. Para aplicar de manera forzosa que la clave de reCAPTCHA solo se use dentro de tu app, desactiva el botón de activación Inhabilitar la verificación del nombre del paquete.
   3. Si quieres crear una clave para una aplicación que está disponible en otras tiendas de aplicaciones además de Google Play Store, activa Compatibilidad con aplicaciones distribuidas fuera de Google Play Store.

   4. En tu entorno que no es de producción, si deseas especificar una puntuación que quieres que la clave muestre cuando se creen evaluaciones para ella, haz lo siguiente:

      1. Haz clic en el botón de activación Esta es una clave de prueba.
      2. En el cuadro Score, especifica una puntuación entre 0 y 1.0.
   6. Haz clic en Crear clave.

   La nueva clave aparecerá en la página de claves de reCAPTCHA.

   gcloud (iOS)

   Para crear claves de reCAPTCHA, usa el comando gcloud recaptcha keys create.

   Nota: Solo se admite la creación de claves reCAPTCHA para WAF en aplicaciones para dispositivos móviles para la integración con Google Cloud Armor. Para esta integración, solo puedes crear claves de token de acción para aplicaciones para dispositivos móviles.

   Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

   • DISPLAY_NAME: Es el nombre de la clave. Por lo general, es un nombre de sitio.
   • BUNDLE_IDs: Son los ID de paquete de iOS de las apps que tienen permiso para usar la clave. Especifica varios IDs de paquetes en una lista separada por comas.
   • WAF_FEATURE: Es el nombre de la función de WAF. Especifica action-token.
   • WAF_SERVICE: El nombre del proveedor de servicios de WAF. Especifica CA para Google Cloud Armor.

   Ejecuta el comando gcloud recaptcha keys create:

   Linux, macOS o Cloud Shell

   
   gcloud recaptcha keys create \
   --display-name=DISPLAY_NAME  \
   --ios --bundle-ids=BUNDLE_IDs \
   --waf-feature=WAF_FEATURE \
   --waf-service=WAF_SERVICE
   

   Windows (PowerShell)

   
   gcloud recaptcha keys create `
   --display-name=DISPLAY_NAME  `
   --ios --bundle-ids=BUNDLE_IDs `
   --waf-feature=WAF_FEATURE `
   --waf-service=WAF_SERVICE
   

   Windows (cmd.exe)

   
   gcloud recaptcha keys create ^
   --display-name=DISPLAY_NAME  ^
   --ios --bundle-ids=BUNDLE_IDs ^
   --waf-feature=WAF_FEATURE ^
   --waf-service=WAF_SERVICE
   

   La respuesta contiene la clave de reCAPTCHA que se acaba de crear.

   gcloud (Android)

   Para crear claves de reCAPTCHA, usa el comando gcloud recaptcha keys create.

   Nota: Solo se admite la creación de claves reCAPTCHA para WAF en aplicaciones para dispositivos móviles para la integración con Google Cloud Armor. Para esta integración, solo puedes crear claves de token de acción para aplicaciones para dispositivos móviles.

   Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

   • DISPLAY_NAME: Es el nombre de la clave. Por lo general, es un nombre de sitio.
   • PACKAGE_NAMES: Son los nombres de los paquetes de Android de las apps que tienen permiso para usar la clave. Especifica varios nombres de paquetes en una lista separada por comas.
   • WAF_FEATURE: Es el nombre de la función de WAF. Especifica action-token.
   • WAF_SERVICE: El nombre del proveedor de servicios de WAF. Especifica CA para Google Cloud Armor.

   Ejecuta el comando gcloud recaptcha keys create:

   Linux, macOS o Cloud Shell

   
   gcloud recaptcha keys create \
   --display-name=DISPLAY_NAME  \
   --android --package-names=PACKAGE_NAMES \
   --waf-feature=WAF_FEATURE \
   --waf-service=WAF_SERVICE
   
   

   Windows (PowerShell)

   
   gcloud recaptcha keys create `
   --display-name=DISPLAY_NAME  `
   --android --package-names=PACKAGE_NAMES `
   --waf-feature=WAF_FEATURE `
   --waf-service=WAF_SERVICE
   
   

   Windows (cmd.exe)

   
   gcloud recaptcha keys create ^
   --display-name=DISPLAY_NAME  ^
   --android --package-names=PACKAGE_NAMES ^
   --waf-feature=WAF_FEATURE ^
   --waf-service=WAF_SERVICE
   
   

   La respuesta contiene la clave de reCAPTCHA que se acaba de crear.

   REST (iOS)

   Nota: Solo se admite la creación de claves reCAPTCHA para WAF en aplicaciones para dispositivos móviles para la integración con Google Cloud Armor. Para esta integración, solo puedes crear claves de token de acción para aplicaciones para dispositivos móviles.

   Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

   • DISPLAY_NAME: Es el nombre de la clave. Por lo general, es el nombre de una app.
   • BUNDLE_IDs: Son los ID de paquete de iOS de las apps que tienen permiso para usar la clave. Especifica varios IDs de paquetes en una lista separada por comas.
   • WAF_FEATURE: Es el nombre de la función de WAF. Especifica action-token.
   • WAF_SERVICE: El nombre del proveedor de servicios de WAF. Especifica CA para Google Cloud Armor.

   HTTP method and URL:

   POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

   Cuerpo JSON de la solicitud:

   {
     "displayName": "DISPLAY_NAME",
     "iosSettings": {
    "allowedBundleIds": "BUNDLE_IDS"
    },
      'wafSettings': "  {
          "wafService": "CA",
    "wafFeature": "ACTION_TOKEN"
     }
    }
   
   

   Para enviar tu solicitud, elige una de estas opciones:

   curl

   Nota: Con el siguiente comando, se supone que accediste a la CLI de gcloud con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login, o a través del uso de Cloud Shell, que accede de forma automática a la CLI de gcloud. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   curl -X POST \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       -H "Content-Type: application/json; charset=utf-8" \
       -d @request.json \
       "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

   PowerShell

   Nota: Con el siguiente comando, se supone que accediste a la CLI de gcloud con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login, o a través del uso de Cloud Shell, que accede de forma automática a la CLI de gcloud. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

   Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

   
   {
     "name": "projects/project-id/keys/6LfhtywnAAAAABY3sCS2duZ6A55kmDXz-PNEgKgT",
     "displayName": "DISPLAY_NAME",
     "iosSettings": {
       "allowAllBundleIds": false,
       "allowedBundleIds": [
           BUNDLE_IDS
       ]
     },
     "labels": {},
     "wafSettings": {
         "wafService": "CA",
         "wafFeature": "ACTION_TOKEN"
     }
   }
   
   

   REST (Android)

   Nota: Solo se admite la creación de claves reCAPTCHA para WAF en aplicaciones para dispositivos móviles para la integración con Google Cloud Armor. Para esta integración, solo puedes crear claves de token de acción para aplicaciones para dispositivos móviles.

   Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

   • DISPLAY_NAME: Es el nombre de la clave. Por lo general, es el nombre de una app.
   • PACKAGE_NAMES: Son los nombres de los paquetes de Android de las apps que tienen permiso para usar la clave. Especifica varios nombres de paquetes en una lista separada por comas.
   • WAF_FEATURE: Es el nombre de la función de WAF. Especifica action-token.
   • WAF_SERVICE: El nombre del proveedor de servicios de WAF. Especifica CA para Google Cloud Armor.

   HTTP method and URL:

   POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

   Cuerpo JSON de la solicitud:

   {
     "displayName": "DISPLAY_NAME",
     "androidSettings": {
     "allowedPackageNames":"PACKAGE_NAMES"
    },
      'wafSettings': "  {
          "wafService": "CA",
    "wafFeature": "ACTION_TOKEN"
     }
    }
   
   

   Para enviar tu solicitud, elige una de estas opciones:

   curl

   Nota: Con el siguiente comando, se supone que accediste a la CLI de gcloud con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login, o a través del uso de Cloud Shell, que accede de forma automática a la CLI de gcloud. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   curl -X POST \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       -H "Content-Type: application/json; charset=utf-8" \
       -d @request.json \
       "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

   PowerShell

   Nota: Con el siguiente comando, se supone que accediste a la CLI de gcloud con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login, o a través del uso de Cloud Shell, que accede de forma automática a la CLI de gcloud. Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

   Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

   Deberías recibir una respuesta JSON similar a la que se muestra a continuación:

   
   {
     "name": "projects/project-id/keys/6LcioSknAAAAABrjlMuZv2fjIGYMqwaAFC9izhoy",
     "displayName": "DISPLAY_NAME",
     "androidSettings": {
         "allowAllPackageNames": false,
         "allowedPackageNames": [
             PACKAGE_NAMES
         ],
         "supportNonGoogleAppStoreDistribution": false
     },
     "labels": {},
     "wafSettings": {
         "wafService": "CA",
         "wafFeature": "ACTION_TOKEN"
     }
   }
   
   

2. Integra el SDK para dispositivos móviles de reCAPTCHA Enterprise en tus aplicaciones para dispositivos móviles con la clave de token de acción que creaste. Para obtener instrucciones, consulta el documento correspondiente al tipo de tu aplicación móvil.

   • Para Android, consulta Cómo integrar claves WAF con aplicaciones para Android.
   • Para iOS, consulta Integra claves de WAF en aplicaciones para iOS.

3. Después de recibir el token de reCAPTCHA Enterprise, adjúntalo a un encabezado de solicitud predefinido en el siguiente formato:

   X-Recaptcha-Token: value-of-your-action-token
   

   En el siguiente código de ejemplo, se muestra cómo adjuntar el token:

   Android

   Código de muestra en Java

   
   // This example shows how to send an HTTP request to the backend server
   // attached with the reCAPTCHA token in the header.
   //
   // @param serverUrl: the URL of the backend server.
   // @param rceToken: reCAPTCHA token that is attached to the header of the
   // HTTP request.
   
   public static void sendRequestToServerWithRceToken(
       String serverUrl, String rceToken) throws JSONException, IOException {
    URL url = new URL(String.format("http://%s/decryptcaptchacookie/accesswafserver", serverUrl));
    HttpURLConnection connection = (HttpURLConnection) url.openConnection();
    connection.setRequestProperty("X-Recaptcha-Token", rceToken);
   
    try {
       String requestBody = "['']";
       sendRequest(connection, requestBody, "AccessWithRceToken", "GET");
    } finally {
       connection.disconnect();
    }
   }
   
   private static void sendRequest(
       HttpURLConnection connection, String requestString, String requestName, String action)
       throws IOException {
    connection.setConnectTimeout(HTTP_CONNECT_TIMEOUT_MS);
    connection.setReadTimeout(HTTP_READ_TIMEOUT_MS);
    connection.setRequestProperty("Content-type", CONTENT_TYPE);
    connection.setRequestProperty(
       "Content-Length", Integer.toString(Utf8.encodedLength(requestString)));
    connection.setRequestMethod(action);
    connection.setDoOutput(true);
    connection.connect();
    try (OutputStream postStream = connection.getOutputStream()) {
       postStream.write(requestString.getBytes(UTF_8));
    }
   
    int responseCode = connection.getResponseCode();
    String response = connection.getResponseMessage();
    if (responseCode != HttpURLConnection.HTTP_OK) {
       throw new IOException(
          String.format(
             "Failed to complete request.\nResponse code:%s\nError Detail:\n%s",
             responseCode, response));
    }
   }
   
   

   iOS

   Código de muestra en Swift

   
   // This example shows how to send an HTTP request to the backend server
   // attached with the reCAPTCHA token in the header.
   // @param serverUrl: the URL of the backend server.
   // @param rceToken: reCAPTCHA token that is attached to the header of
   // the HTTP request.
   
    public static func accessWafServer(rceToken: String, serverUrl: String)
       async throws -> String
    {
       let requestURL = try HttpHelper.createRequestURL(endpoint: serverUrl)
       var request = try HttpHelper.createRequest(requestURL: requestURL, action: "GET")
       request.setValue(rceToken, forHTTPHeaderField: "X-Recaptcha-Token")
   
       let data = try await HttpHelper.getDataFromServer(request)
   
       return String(decoding: data, as: UTF8.self)
    }
   
   

Configura las políticas de seguridad de Google Cloud Armor

Después de implementar las funciones de reCAPTCHA Enterprise para WAF, debes configurar las políticas de seguridad de Google Cloud Armor que evalúan los tokens de reCAPTCHA Enterprise para la administración de bots.

Para aprender a configurar las políticas de seguridad de Google Cloud Armor y usar las claves de token de acción con tus políticas de seguridad, consulta Configura reglas para la administración de bots.

¿Qué sigue?

• Configura reglas para la administración de bots.