יצירת מפתחות reCAPTCHA לאתרים

בדף הזה מוסבר איך ליצור מפתחות reCAPTCHA (שנקראים גם מפתחות) כדי לאמת אינטראקציות של משתמשים בדפי האינטרנט.

מפתחות reCAPTCHA מייצגים את האופן שבו reCAPTCHA מוגדר לאתר. ההגדרה כוללת אפשרויות חשובות, כמו האפשרות להציג אתגרים של CAPTCHA.

לפני שמתחילים

• הכנת הסביבה ל-reCAPTCHA
• חשוב לוודא שהוקצה לכם התפקיד הבא בניהול זהויות והרשאות גישה (IAM): אדמין של reCAPTCHA Enterprise‏ (roles/recaptchaenterprise.admin).
• בוחרים את סוג המפתח שהכי מתאים לתרחיש לדוגמה שלכם.

יצירת מפתח reCAPTCHA

אין הגבלה על מספר מפתחות reCAPTCHA שאפשר ליצור עבור Google Cloud פרויקט. מומלץ ליצור מפתח reCAPTCHA אחד לכל אתר.

מומלץ ליצור מפתחות reCAPTCHA נפרדים לסביבות Staging וייצור. אחרת, אתם מסתכנים בזיהום של ניתוח הסיכונים של reCAPTCHA בנתונים מסביבת הבדיקה שלכם.

הדרך הכי פשוטה ליצור מפתח reCAPTCHA היא דרך מסוף האדמין של reCAPTCHA. לחלופין, אפשר להשתמש במסוף Google Cloud , ב-reCAPTCHA Enterprise API או ב-Google Cloud CLI.

מסוף Admin

1. עוברים אל מסוף Admin של reCAPTCHA.

   כניסה למסוף Admin של reCAPTCHA

2. בשדה תווית, מזינים שם שיעזור לזהות את האתר.
3. כדי ליצור מפתח מבוסס-ציון, בוחרים באפשרות על סמך ציון (גרסה 3). אם רוצים ליצור מפתח של תיבת סימון, בוחרים באפשרות אתגר (גרסה 2).
4. כדי להוסיף דומיין, מזינים את שם הדומיין ולוחצים על .

   כדי להוסיף עוד דומיין, חוזרים על השלב הזה. אפשר להוסיף עד 250 דומיינים.

5. אם אתם משתמשים חדשים ב- Google Cloud Console, עליכם לקרוא את התנאים וההגבלות ולסמן את תיבת הסימון.
6. לוחצים על שליחה.

אם אתם משתמשים חדשים במסוף Google Cloud , ייווצר פרויקט Google Cloud וממשקי ה-API הנדרשים יופעלו כדי שתוכלו להתחיל. אם כבר יש לכם פרויקט, ממשקי ה-API הנדרשים מופעלים בפרויקט כדי שתוכלו להתחיל. Google Cloud

מסוף Cloud

1. נכנסים לדף reCAPTCHA במסוף Google Cloud .

   מעבר אל reCAPTCHA

2. מוודאים ששם הפרויקט מופיע בבורר המשאבים בחלק העליון של הדף.

   אם שם הפרויקט לא מופיע, לוחצים על בורר המשאבים ובוחרים את הפרויקט.

3. לוחצים על Create key.
4. בשדה שם לתצוגה, מזינים שם לתצוגה של המפתח.
5. ב-Application type בוחרים באפשרות Web.

   יופיע הקטע Domain list (רשימת הדומיינים).

6. כדי להגן על מפתח ה-reCAPTCHA של הדומיין ותת-הדומיינים, מוודאים שהמתג השבתת אימות הדומיין מושבת.

   השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות באתר, ולכן כל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

7. מזינים את שם הדומיין של האתר:

   1. בקטע רשימת הדומיינים, לוחצים על הוספת דומיין.
   2. בשדה דומיין, מזינים את שם הדומיין.

   3. אופציונלי: כדי להוסיף עוד דומיין, לוחצים על הוספת דומיין ומזינים את השם של דומיין נוסף בשדה דומיין. אפשר להוסיף עד 250 דומיינים.

      באתרים, מפתח ה-reCAPTCHA הוא ייחודי לדומיינים ולתתי-הדומיינים שאתם מציינים. אפשר לציין יותר מדומיין אחד אם האתר שלכם מוגש מכמה דומיינים. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com).

      כדי להשתמש במפתח ביותר מ-250 דומיינים, לוחצים על המתג השבתת אימות הדומיין. מערכת reCAPTCHA תתעלם מרשימת הדומיינים. אתם צריכים לבצע בעצמכם אימות של הדומיין על ידי בדיקת השדה tokenProperties.hostname בהערכות שאתם יוצרים.

8. בהתאם לסוג מפתח ה-reCAPTCHA שרוצים ליצור לאתר, מבצעים את הפעולה המתאימה:

יצירת מפתחות reCAPTCHA מבוססי-ציון

הערה: יצירת מפתח שמבוסס על ניקוד היא אפשרות ברירת המחדל במסוף Google Cloud .

1. אם רוצים לאפשר למפתח מבוסס-הציון לפעול עם Accelerated Mobile Pages‏ (AMP), מפעילים את המתג המפתח הזה יוכל לפעול בשילוב עם דפי AMP.

2. אם רוצים לציין ציון שהמפתח יחזיר כשייווצרו הערכות עבור הסביבה שאינה סביבת ייצור, צריך לעשות את הפעולות הבאות:

   1. לוחצים על השלב הבא (אופציונלי).
   2. בשלב 'הגדרות נוספות', לוחצים על המתג האם המפתח הזה נוצר למטרות בדיקה בלבד?.
   3. משתמשים בפס ההזזה הגדרת ציון כדי לציין ציון בין 0 ל-1.0.
3. לוחצים על Create key.

המפתח החדש שנוצר מופיע בדף מפתחות reCAPTCHA.

יצירת מפתחות reCAPTCHA של תיבת סימון

אנחנו לא ממליצים להשתמש במפתחות של תיבות סימון כי הם מגבירים את החיכוך עם המשתמשים ולא משפרים באופן משמעותי את הדיוק.

1. לוחצים על השלב הבא (אופציונלי).
2. בשלב 'הגדרות נוספות', מפעילים את האפשרות האם תשתמשו באתגרים? החלפת מצב.
3. בוחרים את האפשרות המתאימה לאתגר אבטחה.

   אפשרות האבטחה 'אתגר' קובעת את ההסתברות לכך שיוצג למשתמש אתגר משני, שבו המשתמשים מתבקשים לבחור תמונות על סמך קטגוריה מזוהה (לדוגמה, בחירת התמונות עם אופנוע או מדרגות).

   אם רוצים להבטיח את ההגנה הטובה ביותר מפני הונאות, בוחרים באפשרות קשה.

   אם בוחרים באפשרות קל, יש פחות סיכוי שהמשתמשים יתבקשו לפתור את האתגר החזותי.

4. אם רוצים לציין ציון שהמפתח יחזיר כשייווצרו הערכות עבור הסביבה שאינה סביבת ייצור, צריך לעשות את הפעולות הבאות:

   1. לוחצים על המתג האם המפתח הזה נוצר למטרות בדיקה בלבד?.
   2. משתמשים בפס ההזזה הגדרת ציון כדי לציין ציון בין 0 ל-1.0.
   3. בוחרים את האפשרות המתאימה ל-Challenge type.
      • לפעמים מופיע אתגר אוטומטי.
      • No CAPTCHA לא מציג אתגר.
      • אתגר שלא ניתן לפתור מוצגות התמונות אבל לא ניתן לפתור את האתגר.
   4. לוחצים על Create key.

   המפתח החדש שנוצר מופיע בדף מפתחות reCAPTCHA.

יצירת מפתחות reCAPTCHA לאתגרים שמבוססים על מדיניות

1. לוחצים על השלב הבא (אופציונלי).
2. בשלב 'הגדרות נוספות', מפעילים את האפשרות האם תשתמשו באתגרים? החלפת מצב.
3. בוחרים את האפשרות המתאימה לאתגר אבטחה.

   אפשרות האבטחה של האתגר מגדירה את המורכבות והתדירות של אתגרי ה-CAPTCHA שמוצגים למשתמש.

   אם רוצים להבטיח את ההגנה הטובה ביותר מפני הונאות, בוחרים באפשרות קשה.

   אם בוחרים באפשרות קלה, יש פחות סיכוי שהמשתמשים יתבקשו לפתור אתגרים של CAPTCHA, והאתגרים יהיו פשוטים יותר.

4. אם רוצים לציין ציון למפתח שיוחזר כשיוצרים עבורו הערכות בסביבה שאינה סביבת ייצור, צריך לבצע את הפעולות הבאות:

   1. לוחצים על המתג האם המפתח הזה נוצר למטרות בדיקה בלבד?.
   2. משתמשים בפס ההזזה הגדרת ציון כדי לציין ציון בין 0 ל-1.0.
5. בוחרים את ערך הסף של הניקוד להפעלת אתגרי CAPTCHA, שרלוונטי לכל הפעולות.
6. לוחצים על Create key.

המפתח החדש שנוצר מופיע בדף מפתחות reCAPTCHA.

gcloud

כדי ליצור מפתחות reCAPTCHA, משתמשים בפקודה gcloud recaptcha keys create.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫INTEGRATION_TYPE: סוג השילוב. בהתאם לסוג המפתחות, מציינים את הערכים הבאים:
  • ‫score למקשים מבוססי-ניקוד.
  • ‫checkbox למפתחות של תיבות סימון.
  • policy-based-challenge למפתחות אתגר שמבוססים על מדיניות.
  הערה: אנחנו לא ממליצים להשתמש ב-CHECKBOX כי היא מגדילה את החיכוך עם המשתמשים ולא משפרת באופן משמעותי את הדיוק. מידע נוסף זמין בשאלות הנפוצות.
• ‫DISPLAY_NAME: שם המפתח. בדרך כלל שם האתר.
• ‫DOMAIN_NAME: דומיינים או תת-דומיינים של אתרים שמורשים להשתמש במפתח.

  אפשר לציין כמה דומיינים כרשימה שמופרדת באמצעות פסיקים.

  כדי להשתמש במפתח ביותר מ-250 דומיינים, צריך לציין --allow-all-domains כדי להשבית את אימות הדומיין. מערכת reCAPTCHA תתעלם מרשימת הדומיינים. אתם צריכים לבצע בעצמכם אימות של הדומיין על ידי בדיקת השדה tokenProperties.hostname בדיווחים שאתם יוצרים.

  השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות באתר, ולכן כל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

  הערה: מפתח reCAPTCHA הוא ייחודי לדומיינים ולתתי-דומיינים שאתם מציינים. אפשר לציין יותר מדומיין אחד אם האתר שלכם מוגש מכמה דומיינים. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תתי-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com).
• ‫DEFAULT_SCORE_THRESHOLD: במקרה של מפתחות אתגרים שמבוססים על מדיניות, ההגדרה הזו מגדירה את סף האתגר האוניברסלי למפתח כשלא מוגדר סף ניקוד בהתאמה אישית.
• ‫ACTION_SCORE_THRESHOLDS: במקרה של מפתחות לאתגרים שמבוססים על מדיניות, כאן מציינים את הפעולה ואת ערך הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  הערה: רק הציונים הסופיים שמחושבים אחרי כל האתגרים מוחזרים בהערכות. הציון הראשוני שמחושב על ידי reCAPTCHA מושווה לסף.

מריצים את הפקודה gcloud recaptcha keys create:

‫Linux,‏ macOS או Cloud Shell

gcloud recaptcha keys create \
        --web \
        --display-name=DISPLAY_NAME  \
        --integration-type=INTEGRATION_TYPE \
        --domains=DOMAIN_NAME \

‏Windows (PowerShell)

gcloud recaptcha keys create `
        --web `
        --display-name=DISPLAY_NAME  `
        --integration-type=INTEGRATION_TYPE `
        --domains=DOMAIN_NAME `

Windows‏ (cmd.exe)

gcloud recaptcha keys create ^
        --web ^
        --display-name=DISPLAY_NAME  ^
        --integration-type=INTEGRATION_TYPE ^
        --domains=DOMAIN_NAME ^

התשובה מכילה את מפתח reCAPTCHA החדש שנוצר.

REST

למידע על סוגי מפתחות וסוגי שילובים, אפשר לעיין במאמרים בנושא מפתח וסוג שילוב.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫INTEGRATION_TYPE: סוג השילוב. בהתאם לסוג המפתחות, מציינים את הערכים הבאים:
  • ‫SCORE למקשים מבוססי-ניקוד.
  • ‫CHECKBOX למפתחות של תיבות סימון.
  • POLICY_BASED_CHALLENGE למפתחות אתגר שמבוססים על מדיניות.
  הערה: אנחנו לא ממליצים להשתמש ב-CHECKBOX כי היא מגדילה את החיכוך עם המשתמשים ולא משפרת באופן משמעותי את הדיוק. מידע נוסף זמין בשאלות הנפוצות.
• ‫DISPLAY_NAME: שם המפתח. בדרך כלל שם האתר.
• ‫DOMAIN_NAME: דומיינים או תת-דומיינים של אתרים שמורשים להשתמש במפתח.

  אפשר לציין כמה דומיינים כרשימה שמופרדת באמצעות פסיקים.

  כדי להשתמש במפתח ביותר מ-250 דומיינים, צריך לציין --allow-all-domains כדי להשבית את אימות הדומיין. מערכת reCAPTCHA תתעלם מרשימת הדומיינים. אתם צריכים לבצע בעצמכם אימות של הדומיין על ידי בדיקת השדה tokenProperties.hostname בדיווחים שאתם יוצרים.

  השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות באתר, ולכן כל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

  הערה: מפתח reCAPTCHA הוא ייחודי לדומיינים ולתתי-דומיינים שאתם מציינים. אפשר לציין יותר מדומיין אחד אם האתר שלכם מוגש מכמה דומיינים. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תתי-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com).
• ‫DEFAULT_SCORE_THRESHOLD: במקרה של מפתחות אתגרים שמבוססים על מדיניות, ההגדרה הזו מגדירה את סף האתגר האוניברסלי למפתח כשלא מוגדר סף ניקוד בהתאמה אישית.
• ‫ACTION_SCORE_THRESHOLDS: במקרה של מפתחות לאתגרים שמבוססים על מדיניות, כאן מציינים את הפעולה ואת ערך הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  הערה: רק הציונים הסופיים שמחושבים אחרי כל האתגרים מוחזרים בהערכות. הציון הראשוני שמחושב על ידי reCAPTCHA מושווה לסף.
• ‫DEFAULT_SCORE_THRESHOLD: במקרה של מפתחות אתגרים שמבוססים על מדיניות, ההגדרה הזו מגדירה את סף האתגר האוניברסלי למפתח כשלא מוגדר סף ניקוד בהתאמה אישית. התכונה הזו נמצאת בגרסת טרום-השקה (Preview).
• ‫ACTION_SCORE_THRESHOLDS: במקרה של מפתחות לאתגרים שמבוססים על מדיניות, כאן מציינים את הפעולה ואת ערך הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'. התכונה הזו נמצאת בגרסת טרום-השקה (Preview).
  הערה: רק הציונים הסופיים שמחושבים אחרי כל האתגרים מוחזרים בהערכות. הציון הראשוני שמחושב על ידי reCAPTCHA מושווה לסף.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

גוף בקשת JSON:

{
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowedDomains": "DOMAINS",
    "integrationType": "INTEGRATION_TYPE"
  }
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/project-id/keys/6Ldqgs0UAAAAAIn4k7YxEB-LwEh5S9-Gv6IIWB8m",
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowAllDomains": false,
    "allowedDomains": [
      DOMAINS
    ],
    "allowAmpTraffic": false,
    "integrationType": "SCORE",
    "challengeSecurityPreference": "CHALLENGE_SECURITY_PREFERENCE_UNSPECIFIED"
  }
}

הערה: אחרי שיוצרים מפתחות reCAPTCHA, אפשר לערוך או למחוק אותם. אי אפשר לשחזר מפתחות שנמחקו. בנוסף, אי אפשר להעביר מפתחות reCAPTCHA מפרויקט Google Cloud אחד לפרויקט Google Cloud אחר.

(אופציונלי) מציאת מפתח סודי של reCAPTCHA מדור קודם

אם רוצים לבצע שילוב עם אפליקציה של צד שלישי שלא משתמשת ב-reCAPTCHA Enterprise API, צריך את המפתח הסודי מדור קודם.

לכל מפתח אתר שיוצרים, reCAPTCHA יוצר מפתח סודי מדור קודם (מפתח סודי מדור קודם), שאפשר להשתמש בו עם אפליקציית צד שלישי.

אם אתם צריכים את המפתח הסודי של מפתח reCAPTCHA Classic, אתם צריכים להעביר את המפתח ל-reCAPTCHA Google Cloud ולמצוא את המפתח הסודי מדור קודם.

הערה: לא מומלץ להשתמש במפתח סודי מדור קודם בקצה הקדמי, כי הוא יהיה גלוי למשתמשים ותוקפים יוכלו לנצל לרעה את האפליקציה.

כדי למצוא את מפתח הסוד מהגרסה הקודמת:

1. נכנסים לדף reCAPTCHA במסוף Google Cloud .

   מעבר אל reCAPTCHA

2. בקטע reCAPTCHA Keys (מפתחות reCAPTCHA), מוצאים את מפתח reCAPTCHA שיצרתם ולוחצים עליו.

   

3. בדף Key Details (פרטי המפתח), בכרטיסייה Integration (שילוב), לוחצים על Use Legacy Key (שימוש במפתח מדור קודם). תיפתח תיבת דו-שיח עם הוראות לשימוש במפתח הסודי מדור קודם.

   

המאמרים הבאים

• הטמעה של מפתחות מבוססי-ניקוד בדפי האינטרנט.
• הטמעה של מקשי תיבת סימון בדפי האינטרנט
• הטמעה של מפתחות אתגר שמבוססים על מדיניות בדפי האינטרנט.