Esta página foi traduzida pela API Cloud Translation.

Integrar o reCAPTCHA para WAF com a Cloudflare

Este documento mostra como integrar o reCAPTCHA para WAF com a Cloudflare.

Para concluir a integração, você deve implementar um ou mais recursos do reCAPTCHA para WAF, criar políticas de firewall reCAPTCHA e fazer a integração com o Cloudflare, implantando e configurando um Cloudflare Worker aplicativo sem servidor.

Antes de começar

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector
Registre o ID do projeto do Google Cloud para uso posterior.
Make sure that billing is enabled for your Google Cloud project.

Observação: os testes gratuitos não são faturados.
Enable the reCAPTCHA Enterprise API.
Enable the API
Crie uma chave de API para autenticação:
1. No console do Google Cloud, acesse a página Credenciais.
  
  Ir para Credenciais
2. Clique em Criar credenciais e, em seguida, selecione Chave de API.
3. Registre a chave de API para uso posterior.
Planeje como você quer implementar os recursos do reCAPTCHA para WAF para proteger seu site.
1. Escolher um ou mais recursos do WAF que melhor correspondem ao seu caso de uso.
2. Identifique as páginas que você quer proteger.
3. Escolha o tipo de recursos do WAF que você quer implementar nas páginas identificadas.
4. Identifique as condições para gerenciar o acesso do usuário.
5. Entenda os componentes da política de firewall do reCAPTCHA e os atributos deles que ajudam a criar políticas de firewall do reCAPTCHA. Para ver exemplos, consulte Exemplos de políticas de firewall reCAPTCHA.
Crie ou escolha uma conta da Cloudflare com recursos do Cloudflare Worker.
Crie ou escolha um site do Cloudflare.
Faça o download do pacote reCAPTCHA para o Cloudflare recaptcha_cloudflare_client_0.0.2.tar.gz.

Implementar recursos do reCAPTCHA para WAF

Dependendo dos seus requisitos, é possível usar um ou mais recursos do reCAPTCHA para WAF em um único aplicativo.

Se você quiser usar mais de um recurso, crie uma chave reCAPTCHA para cada um deles e use-os no seu aplicativo. Por exemplo, se você quiser usar tokens de ação e a página de desafio reCAPTCHA, será preciso crie uma chave de token de ação e uma chave de página de desafio e use-as em seu para o aplicativo.

action-token

Para gerar tokens de ação, é preciso ter o reCAPTCHA em execução nas suas páginas da Web. Depois que o reCAPTCHA gera um token de ação, você o anexa a um cabeçalho de solicitação sempre que você precisar proteger qualquer ação do usuário, como checkout. Por padrão, os tokens de ação são válidos por 30 minutos, mas podem variar dependendo do tráfego. É necessário anexar o token de ação a um cabeçalho de solicitação predefinido antes que o token expire para que o cloudflare pode avaliar os atributos do token.

Para implementar um token de ação reCAPTCHA, faça o seguinte:

Crie uma chave de token de ação para seu site.
gcloud

Para criar chaves reCAPTCHA, use o comando gcloud recaptcha keys create.

Antes de usar os dados do comando abaixo, faça estas substituições:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- INTEGRATION_TYPE: tipo de integração. Especifique score ou checkbox.
- DOMAIN_NAME: domínios ou subdomínios de sites que podem usar a chave.
  Para especificar vários domínios, use um formato de lista separada por vírgulas. Opcional: especifique --allow-all-domains para desativar a verificação de domínio.
  
  Desativar a verificação de domínio é um risco para a segurança porque não há restrições no site. Portanto, sua chave reCAPTCHA pode ser acessada e usada por qualquer pessoa.
- WAF_FEATURE: nome do recurso do WAF. Especifique action-token.
- WAF_SERVICE: nome do provedor de serviço do WAF. Especifique cloudflare para Cloudflare.
Execute o comando gcloud recaptcha keys create:
Linux, macOS ou Cloud Shell

gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
A resposta contém a chave reCAPTCHA recém-criada.
REST
Para informações de referência da API sobre tipos de integração e chave, consulte Chave e Tipo de integração.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- INTEGRATION_TYPE: tipo de integração. Especifique score ou checkbox.
- DOMAIN_NAME: domínios ou subdomínios de sites que podem usar a chave.
  Para especificar vários domínios, use um formato de lista separada por vírgulas. Opcional: especifique --allow-all-domains para desativar a verificação de domínio.
  
  Desativar a verificação de domínio é um risco para a segurança porque não há restrições no site. Portanto, sua chave reCAPTCHA pode ser acessada e usada por qualquer pessoa.
- WAF_FEATURE: nome do recurso do WAF. Especifique action-token.
- WAF_SERVICE: nome do Provedor de serviços WAF. Especifique cloudflare para Cloudflare.
Método HTTP e URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
Corpo JSON da solicitação:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }
Para enviar a solicitação, escolha uma destas opções:
curl

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "cloudflare", "wafFeature": "ACTION_TOKEN" } }
Registre a chave do token de ação para uso posterior.
Integre o reCAPTCHA JavaScript nas suas páginas da Web com a chave de token de ação que você criou. Para obter instruções, consulte o documento que corresponde ao tipo de integração da sua chave de token de ação.
- Para o tipo de integração SCORE, consulte Integrar chaves baseadas em pontuação ao front-end.
- Para o tipo de integração CHECKBOX, consulte Renderizar o widget reCAPTCHA no front-end.

Depois de receber o token do reCAPTCHA, anexe-o ao um cabeçalho de solicitação predefinido neste formato:

 X-Recaptcha-Token: value-of-your-action-token

Use linguagens como XHR, Ajax ou API Fetch para anexar o token a um cabeçalho de solicitação predefinido.

O exemplo de script a seguir mostra como proteger o execute e anexar o token para um cabeçalho de solicitação predefinido usando JavaScript + XHR:

  
  <script>
    src="https://www.google.com/recaptcha/enterprise.js?render=ACTION_TOKEN_KEY"></script>

    <script>
    function onSuccess(action_token) {
         const xhr = new XMLHttpRequest();
         xhr.open('GET','YOUR_URL', false);
         // Attach the action-token to the predefined request header
         xhr.setRequestHeader("X-Recaptcha-Token", action_token);
         xhr.send(null);
       }
       function onError(reason) {
         alert('Response promise rejected: ' + reason);
       grecaptcha.enterprise.ready(function () {
         document.getElementById("execute-button").onclick = () => {
           grecaptcha.enterprise.execute('ACTION_TOKEN_KEY', {
           }).then(onSuccess, onError);
         };
       });
      }
    </script>

session-token

O reCAPTCHA JavaScript define um token de sessão reCAPTCHA como um cookie no navegador do usuário final após a avaliação. O navegador do usuário final anexa o cookie e o atualiza enquanto o reCAPTCHA JavaScript permanece ativo.

Para fornecer um token de sessão como um cookie, instale uma chave de token de sessão em pelo menos uma das suas páginas da Web que o usuário final acessa antes da página que precisa ser protegida. Por exemplo, se você quiser proteger a página de finalização de compra, instale uma chave de token de sessão na página inicial ou do produto.

É possível incluir o JavaScript reCAPTCHA nas suas páginas da Web configurando o arquivo wrangler.toml ao instalar o pacote reCAPTCHA para Cloudflare ou instalar a chave de sessão nas suas páginas da Web. A inclusão do JavaScript do reCAPTCHA da Cloudflare integra o reCAPTCHA usando a chave de token de sessão sem a necessidade de instalação manual das chaves nas páginas da Web.

Você pode usar esse cookie para proteger as solicitações subsequentes do usuário final e é carregada em um domínio específico. Por padrão, os tokens de sessão são válidos por 30 minutos. No entanto, se o usuário final permanecer na página em que você implementou o token de sessão, o reCAPTCHA atualiza o token de sessão periodicamente para evitar que ele expire.

Instale tokens de sessão em cada página que precisa ser protegida pelo reCAPTCHA. Recomendamos que você proteja todas as páginas com o reCAPTCHA e use as regras do Google Cloud Armor para aplicar o acesso em todas as páginas, exceto na primeira em que os usuários finais navegam.

Veja a seguir um exemplo de token de sessão reCAPTCHA:

   recaptcha-ca-t=value-of-your-session-token;domain=domain;expires=expiration_time

Para implementar um token de sessão reCAPTCHA, faça o seguinte:

Crie uma chave de token de sessão para seu site.
gcloud

Para criar chaves reCAPTCHA, use o comando gcloud recaptcha keys create.

Antes de usar os dados do comando abaixo, faça estas substituições:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- INTEGRATION_TYPE: tipo de integração. Especifique score.
- DOMAIN_NAME: domínios ou subdomínios de sites que podem usar a chave.
  Para especificar vários domínios, use um formato de lista separada por vírgulas. Opcional: especifique --allow-all-domains para desativar a verificação de domínio.
  
  Desativar a verificação de domínio é um risco para a segurança porque não há restrições no site. Portanto, sua chave reCAPTCHA pode ser acessada e usada por qualquer pessoa.
- WAF_FEATURE: nome do recurso do WAF. Especifique session-token.
- WAF_SERVICE: nome do Provedor de serviços WAF. Especifique cloudflare para Cloudflare.
Execute o gcloud recaptcha keys create (link em inglês) comando:
Linux, macOS ou Cloud Shell

gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
A resposta contém a chave reCAPTCHA recém-criada.
REST
Para informações de referência da API sobre tipos de integração e chave, consulte Chave e Tipo de integração.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- INTEGRATION_TYPE: tipo de integração. Especifique score.
- DOMAIN_NAME: domínios ou subdomínios de sites que podem usar a chave.
  Para especificar vários domínios, use um formato de lista separada por vírgulas. Opcional: especifique --allow-all-domains para desativar a verificação de domínio.
  
  Desativar a verificação de domínio é um risco para a segurança porque não há restrições no site. Portanto, sua chave reCAPTCHA pode ser acessada e usada por qualquer pessoa.
- WAF_FEATURE: nome do recurso do WAF. Especifique session-token.
- WAF_SERVICE: nome do provedor de serviço do WAF. Especifique cloudflare para Cloudflare.
Método HTTP e URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
Corpo JSON da solicitação:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }
Para enviar a solicitação, escolha uma destas opções:
curl

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "cloudflare", "wafFeature": "SESSION_TOKEN" } }
Registre a chave do token de sessão para uso posterior.

Se você quiser injetar o JavaScript reCAPTCHA da Cloudflare, pule a próxima etapa e configure wranger.toml.

Adicione a chave de token de sessão e waf=session ao JavaScript do reCAPTCHA.

O exemplo de script a seguir mostra como implementar um token de sessão em uma página da Web:

<!DOCTYPE html>
<html lang="en">
<head>
 <meta charset="UTF-8">
 <title>reCAPTCHA WAF Session Token</title>
 <script src="https://www.google.com/recaptcha/enterprise.js?render=SESSION_TOKEN_KEY&waf=session" async defer></script>
 <body></body>
</head>
</html>

challenge-page

Quando você implementa uma página de teste do reCAPTCHA, o reCAPTCHA redireciona para uma página intersticial em que ele determina se é necessário mostrar um teste do CAPTCHA para um usuário. Portanto, os desafios CAPTCHA podem não ser visível para todos os usuários.

Para implementar uma página de teste do reCAPTCHA, faça o seguinte:

Crie uma chave de página de desafio para seu site.
gcloud

Para criar chaves reCAPTCHA, use o comando gcloud recaptcha keys create.

Antes de usar os dados do comando abaixo, faça estas substituições:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- INTEGRATION_TYPE: tipo de integração. Especifique invisible.
- DOMAIN_NAME: domínios ou subdomínios de sites que podem ser usados a chave. Especifique --allow-all-domains.
- WAF_FEATURE: nome do recurso do WAF. Especifique challenge-page.
- WAF_SERVICE: nome do provedor de serviço do WAF. Especifique cloudflare para Cloudflare.
Execute o gcloud recaptcha keys create (link em inglês) comando:
Linux, macOS ou Cloud Shell

gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
A resposta contém a chave reCAPTCHA recém-criada.
REST
Para informações de referência da API sobre tipos de integração e chave, consulte Chave e Tipo de integração.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- INTEGRATION_TYPE: tipo de integração. Especifique invisible.
- DOMAIN_NAME: domínios ou subdomínios de sites que podem ser usados a chave. Especifique --allow-all-domains.
- WAF_FEATURE: nome do recurso do WAF. Especifique challenge-page.
- WAF_SERVICE: nome do provedor de serviço do WAF. Especifique cloudflare para Cloudflare.
Método HTTP e URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
Corpo JSON da solicitação:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }
Para enviar a solicitação, escolha uma destas opções:
curl

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "INVISIBLE", }, "wafSettings": { "wafService": "cloudflare", "wafFeature": "CHALLENGE_PAGE" } }
Registre a chave da página de desafio para uso posterior.
Redirecionar usuários para a página do desafio reCAPTCHA e receber um reCAPTCHA token, crie uma política de firewall com a redirect em páginas protegidas.

express

Para implementar o reCAPTCHA expresso, crie uma chave expressa.

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
gcloud

Para criar chaves reCAPTCHA, use o comando gcloud recaptcha keys create.

Antes de usar os dados do comando abaixo, faça estas substituições:
- DISPLAY_NAME: o nome da chave. Geralmente, um nome de site.
- WAF_SERVICE: nome do provedor de serviço do WAF. Especifique cloudflare para Cloudflare.
Execute o gcloud recaptcha keys create (link em inglês) comando:
Linux, macOS ou Cloud Shell

gcloud recaptcha keys create \ --express \ --display-name=DISPLAY_NAME \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --express ` --display-name=DISPLAY_NAME ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --express ^ --display-name=DISPLAY_NAME ^ --waf-service=WAF_SERVICE
A resposta contém a chave reCAPTCHA recém-criada.
REST
Para informações de referência da API sobre tipos de integração e chave, consulte Chave e Tipo de integração.
Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:
- DISPLAY_NAME: nome da chave. Geralmente, um nome de site.
- WAF_SERVICE: nome do provedor de serviço do WAF. Especifique cloudflare para o Cloudflare.
Método HTTP e URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
Corpo JSON da solicitação:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", }
Para enviar a solicitação, escolha uma destas opções:
curl

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que faz login automaticamente na CLI gcloud. . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

Observação: o comando a seguir pressupõe que você fez login na CLI gcloud com sua conta de usuário executando gcloud init ou gcloud auth login . É possível verificar a conta ativa atual executando gcloud auth list.

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
Você receberá uma resposta JSON semelhante a esta:
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, }, "wafSettings": { "wafService": "cloudflare", } }
Grave sua chave expressa para uso posterior.

Integrar com o Cloudflare

Para usar as políticas de firewall reCAPTCHA, você precisa implantar e configurar um Aplicativo sem servidor do Cloudflare Worker.

Antes de iniciar o processo de integração, faça o seguinte:

Crie um CLOUDFLARE_API_TOKEN e escolha o modelo Edit Cloudflare Workers. Registre o token da API para uso posterior.
Consiga o ID da conta da API Cloudflare e registre-o para uso posterior.

Instalar o pacote reCAPTCHA para a Cloudflare

Faça o download e instale o pacote reCAPTCHA para o Cloudflare:
1. In the Google Cloud console, activate Cloud Shell.
  
  Activate Cloud Shell
  
  At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
2. Instale o pacote wrangler:
```
 npm install -g wrangler
```
3. Faça o download do pacote reCAPTCHA para Cloudflare:
```
wget --load-cookies /tmp/cookies.txt https://dl.google.com/recaptchaenterprise/cloudflare_client/releases/recaptcha_cloudflare_client_0.0.2.tar.gz -O recaptcha_cloudflare_client_0.0.2.tar.gz && rm -rf /tmp/cookies.txt
```
4. Descompacte o pacote reCAPTCHA para a Cloudflare:
```
tar -xvzf recaptcha_cloudflare_client_0.0.2.tar.gz
```
No arquivo wrangler.toml, configure as seguintes variáveis na seção vars:
- GCP_API_KEY: a chave de API do Google Cloud que você criou para autenticação.
- GCP_PROJECT_NUMBER: o número do projeto do Google Cloud.
- RECAPTCHA_EXPRESS_SITE_KEY: a chave expressa se você estiver usando o reCAPTCHA express.
- RECAPTCHA_SESSION_SITE_KEY: a chave do token de sessão, se você estiver usando o token de sessão do reCAPTCHA.
- RECAPTCHA_ACTION_SITE_KEY: a chave do token de ação, se você estiver usando o token de ação reCAPTCHA.
- RECAPTCHA_CHALLENGE_SITE_KEY: a chave da página de desafio, se você estiver usando a página de desafio reCAPTCHA.
- RECAPTCHA_JS_INSTALL: URLs das páginas em que você quer worker do Cloudflare para instalar reCAPTCHA JavaScript usando a chave de token de sessão. Especifique o caminhos como um padrão glob e usar ; como delimitador. Esta opção está disponível apenas para reCAPTCHA. sessão-token.
- RECAPTCHA_ASSESSMENT_CALL: URLs das páginas em que você quer que o worker da Cloudflare chame a API reCAPTCHA Enterprise para avaliar a pontuação do reCAPTCHA e realizar a ação configurada na política do firewall. Especifique os caminhos como um padrão de glob e use ; como delimitador.
  
  Observação: o caminho especificado nesta variável precisa corresponder ao caminho especificado na regra da política de firewall.
Implante o aplicativo:
```
wrangler deploy
```

Configurar as rotas da Cloudflare para o aplicativo worker

Faça login no painel do Cloudflare e selecione sua conta.
No menu de navegação, clique em Trabalhadores e páginas e selecione o aplicativo de trabalhador.
Clique na guia Gatilhos e depois em Adicionar rota.
Na caixa de diálogo Adicionar rota, insira o caminho da página da Web que precisa ser protegida pelo reCAPTCHA, selecione a zona adequada e clique em Adicionar rota.

Criar políticas de firewall reCAPTCHA

Você precisa criar uma política de firewall que especifique regras para cada página que você quer proteger no seu site. É possível criar políticas de firewall com um ou mais recursos do reCAPTCHA para WAF.

Na política de firewall reCAPTCHA, adicione as regras na ordem das prioridade. A primeira regra tem a ordem mais alta. Também é possível reordenar a prioridade usando ReorderFirewallPoliciesRequest. Para uma solicitação recebida, quando uma condição de política corresponde ao caminho especificado, seu provedor de serviços WAF implementa a ação definida e as regras subsequentes não são avaliadas.

Com base nos recursos que você escolheu, faça o seguinte:
- Identifique o caminho que você quer proteger.
- Identifique as condições para permitir, redirecionar ou bloquear o acesso.
- Priorize as regras.
Entenda o componentes da política de firewall e respectivos atributos.
In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

Para substituir a CLI gcloud e acessar a versão de visualização pública da API reCAPTCHA, execute o seguinte comando:

    gcloud config set api_endpoint_overrides/recaptchaenterprise https://public-preview-recaptchaenterprise.googleapis.com/

Para criar políticas de firewall reCAPTCHA, use o comando gcloud recaptcha firewall-policies create:
Na política de firewall do reCAPTCHA, adicione regras na ordem da prioridade desejada. Primeiro, você precisa adicionar uma regra com a prioridade mais alta. Para uma solicitação recebida, quando uma condição de política corresponde ao caminho especificado, seu provedor de serviços do WAF implementa a ação definida, e as regras subsequentes não são avaliadas. A regra padrão é permitir acesso.
```
   gcloud recaptcha firewall-policies create \
      --actions=ACTION \
      --condition=CONDITION \
      --description=DESCRIPTION \
      --path=PATH
  
```
Forneça os valores a seguir:
- ACTION: as ações que o provedor de serviços do WAF precisa realizar para a solicitação recebida. Ele pode conter no máximo uma ação terminal, que é uma ação que força uma resposta. Especifique uma das seguintes ações:
  - allow: permite o acesso à página solicitada. Essa é uma ação terminal.
  - block: nega acesso à página solicitada. Essa é uma ação terminal.
  - redirect: redireciona a solicitação do usuário para a página de teste do reCAPTCHA. Essa é uma ação terminal.
  - substitute: serve uma página diferente da solicitada para uma solicitação de usuário fraudulenta. Essa é uma ação terminal.
  - set_header: define um cabeçalho personalizado e permite que a solicitação do usuário recebida continue para o back-end. O back-end pode então acionar uma proteção personalizada. Essa é uma ação não terminal.
- CONDITION: uma expressão condicional CEL (linguagem de expressão comum) que especifica se a política de firewall do reCAPTCHA se aplica a uma solicitação de usuário recebida. Se esse condição for avaliada como verdadeira e o caminho solicitado corresponder ao padrão de caminho, as ações associadas são executadas pelo provedor de serviços WAF. O de condição é verificada quanto à exatidão da sintaxe CEL na criação. Para mais informações sobre a definição da linguagem, Definição de linguagem CEL.
- DESCRIPTION: uma descrição do que a política do firewall do reCAPTCHA pretende alcançar. A descrição precisa ter no máximo 256 caracteres UTF-8.
- PATH: o caminho em que a política de firewall do reCAPTCHA é aplicada. Precisa ser especificado como um padrão glob. Para mais informações sobre glob, consulte a página manual.
Após a execução do comando, uma saída semelhante a seguinte é exibido:
```
     Created [100].
   
```
O exemplo a seguir cria uma política de firewall do reCAPTCHA para bloquear a segmentação de tráfego para /example/page.html quando a pontuação for menor que 0,1.
```
   gcloud recaptcha firewall-policies create \
     --description="example policy" \
     --path="/example/page.html" \
     --condition="recaptcha.score < 0.1" \
     --actions="block"
   
```

A seguir

Gerenciar políticas de firewall.

Integrar o reCAPTCHA para WAF com a Cloudflare

Antes de começar

Implementar recursos do reCAPTCHA para WAF

action-token

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

session-token

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

challenge-page

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

express

gcloud

Linux, macOS ou Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

Integrar com o Cloudflare

Instalar o pacote reCAPTCHA para a Cloudflare

Configurar as rotas da Cloudflare para o aplicativo worker

Criar políticas de firewall reCAPTCHA

A seguir