יצירת מפתחות reCAPTCHA לאתרים

בדף הזה מוסבר איך ליצור מפתחות reCAPTCHA כדי לאמת אינטראקציות של משתמשים בדפי האינטרנט.

מפתחות reCAPTCHA מייצגים את האופן שבו reCAPTCHA מוגדר באתר. ההגדרה כוללת אפשרויות חשובות, כמו האם להציג אתגרים של CAPTCHA.

לפני שמתחילים

• הכנת הסביבה ל-Google Cloud Fraud Defense
• חשוב לוודא שהוקצה לכם התפקיד הבא בניהול זהויות והרשאות גישה (IAM): אדמין של reCAPTCHA Enterprise‏ (roles/recaptchaenterprise.admin).
• בוחרים את סוג המפתח שהכי מתאים לתרחיש לדוגמה שלכם.

יצירה של מפתח reCAPTCHA

אין הגבלה על מספר מפתחות ה-reCAPTCHA שאפשר ליצור עבור Google Cloud פרויקט. מומלץ ליצור מפתח reCAPTCHA אחד לכל אתר.

מומלץ ליצור מפתחות reCAPTCHA נפרדים לסביבות Staging וייצור. אחרת, קיים סיכון לזיהום של ניתוח הסיכונים ב-reCAPTCHA בנתונים מסביבת הבדיקה.

הדרך הכי פשוטה ליצור מפתח reCAPTCHA היא דרך מסוף האדמין של reCAPTCHA. לחלופין, אפשר להשתמש במסוף Google Cloud , ב-reCAPTCHA Enterprise API או ב-Google Cloud CLI.

מסוף Admin

1. נכנסים למסוף Admin של Google Cloud Fraud Defense.

   כניסה למסוף Admin של Fraud Defense

2. בשדה תווית, מזינים שם שיעזור לכם לזהות את האתר.
3. אם רוצים ליצור מפתח שמבוסס על ציון, בוחרים באפשרות על סמך ציון (גרסה 3). אם רוצים ליצור מפתח של תיבת סימון, בוחרים באפשרות אתגר (גרסה 2).
4. כדי להוסיף דומיין, מזינים את שם הדומיין ולוחצים על .

   כדי להוסיף עוד דומיין, חוזרים על השלב הזה. אפשר להוסיף עד 250 דומיינים.

5. אם אתם משתמשים חדשים ב- Google Cloud Console, אתם צריכים לקרוא את התנאים וההגבלות ולסמן את תיבת הסימון.
6. לוחצים על שליחה.

אם אתם משתמשים חדשים במסוף Google Cloud , ייווצר פרויקט ב- Google Cloud וממשקי ה-API הנדרשים יופעלו כדי שתוכלו להתחיל. אם כבר יש לכם Google Cloud פרויקט, ממשקי ה-API הנדרשים מופעלים בפרויקט כדי שתוכלו להתחיל.

מסוף Cloud

1. נכנסים לדף Google Cloud Fraud Defense במסוף Google Cloud .

   כניסה אל Google Cloud Fraud Defense

2. מוודאים ששם הפרויקט מופיע בבורר המשאבים בחלק העליון של הדף.

   אם שם הפרויקט לא מופיע, לוחצים על בורר המשאבים ובוחרים את הפרויקט.

3. לוחצים על הכרטיסייה Keys.
4. לוחצים על Create key.
5. בשדה שם לתצוגה, מזינים שם לתצוגה של המפתח.
6. ב-Application type בוחרים באפשרות Web.

   מופיע הקטע רשימת הדומיינים.

7. כדי להגן על מפתח ה-reCAPTCHA של הדומיין ותת-הדומיינים, מוודאים שהמתג השבתת אימות הדומיין מושבת.

   השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות על האתר, ולכן כל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

8. מזינים את שם הדומיין של האתר:

   1. בקטע רשימת הדומיינים, לוחצים על הוספת דומיין.
   2. בשדה דומיין, מזינים את שם הדומיין.

   3. אופציונלי: כדי להוסיף עוד דומיין, לוחצים על הוספת דומיין ומזינים את השם של דומיין נוסף בשדה דומיין. אפשר להוסיף עד 250 דומיינים.

      באתרים, מפתח reCAPTCHA הוא ייחודי לדומיינים ולתתי-דומיינים שאתם מציינים. אפשר לציין יותר מדומיין אחד אם האתר שלכם מוגש מכמה דומיינים. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com). יכול להיות שיחלפו עד 30 דקות עד שהשינויים ברשימת הדומיינים ייכנסו לתוקף.

      כדי להשתמש במפתח ביותר מ-250 דומיינים, לוחצים על המתג השבתת אימות הדומיין. מערכת Google Cloud Fraud Defense תתעלם מרשימת הדומיינים. עליכם לבצע בעצמכם אימות דומיין על ידי בדיקת השדה tokenProperties.hostname בהערכות שאתם יוצרים.

9. בהתאם לסוג מפתח reCAPTCHA שרוצים ליצור לאתר, מבצעים את הפעולה המתאימה:

יצירת מפתחות reCAPTCHA מבוססי-ניקוד

הערה: יצירת מפתח שמבוסס על ציון היא אפשרות ברירת המחדל במסוף Google Cloud .

1. אם רוצים לאפשר למפתח מבוסס-הניקוד לפעול עם דפי Accelerated Mobile Pages ‏(AMP) באמצעות הרכיב amp-recaptcha-input, צריך להפעיל את המתג Allow this key to work with AMP pages (אפשר להשתמש במפתח הזה בדפי AMP).

2. אם אתם רוצים לציין ציון שהמפתח יחזיר כשייווצרו הערכות כלשהן בסביבה שאינה סביבת ייצור, אתם צריכים לבצע את הפעולות הבאות:

   1. לוחצים על השלב הבא (אופציונלי).
   2. בשלב 'הגדרות נוספות', לוחצים על המתג האם המפתח הזה נוצר למטרות בדיקה בלבד?.
   3. משתמשים בפס ההזזה הגדרת ציון כדי לציין ציון בין 0 ל-1.0.
3. לוחצים על Create key.

המפתח החדש שנוצר מופיע בדף מפתחות reCAPTCHA.

יצירת מפתחות reCAPTCHA של תיבת סימון

אנחנו לא ממליצים להשתמש במפתחות של תיבות סימון כי הם מגבירים את החיכוך עם המשתמשים ולא משפרים באופן משמעותי את הדיוק.

1. לוחצים על השלב הבא (אופציונלי).
2. בשלב 'הגדרות נוספות', מפעילים את האפשרות האם תשתמשו באתגרים? החלפת מצב.
3. בוחרים את האפשרות המתאימה של אתגר אבטחה.

   אפשרות האבטחה 'אתגר' קובעת את הסבירות לכך שיוצג למשתמש אתגר משני שבו הוא יתבקש לבחור תמונות על סמך קטגוריה שזוהתה (לדוגמה, בחירת התמונות עם אופנוע או מדרגות).

   אם רוצים להבטיח את ההגנה הטובה ביותר מפני הונאות, בוחרים באפשרות Hard.

   אם בוחרים באפשרות קל, הסיכוי שהמשתמשים יתבקשו לפתור את האתגר החזותי נמוך יותר.

4. אם אתם רוצים לציין ציון שהמפתח יחזיר כשייווצרו הערכות כלשהן עבור הסביבה שלכם שאינה סביבת ייצור, אתם יכולים לעשות זאת כך:

   1. לוחצים על המתג האם המפתח הזה נוצר למטרות בדיקה בלבד?.
   2. משתמשים בפס ההזזה הגדרת ציון כדי לציין ציון בין 0 ל-1.0.
   3. בוחרים את האפשרות המתאימה ל-Challenge type (סוג האתגר).
      • לפעמים מופיע אתגר אוטומטי.
      • No CAPTCHA לא מציג אתגר.
      • אתגר שלא ניתן לפתור מציג את התמונות אבל לא עובר את האתגר.
   4. לוחצים על Create key.

   המפתח החדש שנוצר מופיע בדף מפתחות reCAPTCHA.

יצירת מפתחות reCAPTCHA של מבחנים מבוססי-מדיניות

1. לוחצים על השלב הבא (אופציונלי).
2. בשלב 'הגדרות נוספות', מפעילים את האפשרות האם תשתמשו באתגרים? החלפת מצב.
3. בוחרים את האפשרות המתאימה של אתגר אבטחה.

   אפשרות האבטחה של האתגר מגדירה את המורכבות והתדירות של אתגרי ה-CAPTCHA שמוצגים למשתמש.

   אם רוצים להבטיח את ההגנה הטובה ביותר מפני הונאות, בוחרים באפשרות Hard.

   אם בוחרים באפשרות קלה, יש סיכוי נמוך יותר שהמשתמשים יתבקשו לפתור אתגרים של CAPTCHA, והאתגרים יהיו פשוטים יותר.

4. אם אתם רוצים לציין ציון למפתח בסביבה שאינה סביבת ייצור, כדי שהציון יוחזר כשנוצרות הערכות לגביו, אתם צריכים לבצע את הפעולות הבאות:

   1. לוחצים על המתג האם המפתח הזה נוצר למטרות בדיקה בלבד?.
   2. משתמשים בפס ההזזה הגדרת ציון כדי לציין ציון בין 0 ל-1.0.
5. בוחרים את ערך הסף של הניקוד להפעלת אתגרי CAPTCHA, שרלוונטי לכל הפעולות.
6. לוחצים על Create key.

המפתח החדש שנוצר מופיע בדף מפתחות reCAPTCHA.

gcloud

כדי ליצור מפתחות reCAPTCHA, משתמשים בפקודה gcloud recaptcha keys create.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫INTEGRATION_TYPE: סוג השילוב. בהתאם לסוג המפתחות, מציינים את הערכים הבאים:
  • score למקשים מבוססי-ניקוד.
  • ‫checkbox למפתחות של תיבות סימון.
  • ‫policy-based-challenge policy-based challenge keys.
  הערה: אנחנו לא ממליצים להשתמש ב-CHECKBOX כי היא מגדילה את החיכוך עם המשתמשים ולא משפרת באופן משמעותי את הדיוק. מידע נוסף זמין בשאלות הנפוצות.
• ‫DISPLAY_NAME: השם של המפתח. בדרך כלל שם האתר.
• ‫DOMAIN_NAME: דומיינים או תת-דומיינים של אתרים שמורשים להשתמש במפתח.

  מציינים כמה דומיינים ברשימה שמופרדת בפסיקים.

  כדי להשתמש במפתח ביותר מ-250 דומיינים, צריך לציין --allow-all-domains כדי להשבית את אימות הדומיין. מערכת Google Cloud Fraud Defense תתעלם מרשימת הדומיינים. עליכם לבצע בעצמכם אימות דומיין על ידי בדיקת השדה tokenProperties.hostname בהערכות שאתם יוצרים.

  השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות על האתר, ולכן כל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

  הערה: מפתח reCAPTCHA הוא ייחודי לדומיינים ולתת-דומיינים שאתם מציינים. אפשר לציין יותר מדומיין אחד אם האתר שלכם מוגש מכמה דומיינים. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com). יכול להיות שיחלפו עד 30 דקות עד שהשינויים ברשימת הדומיינים ייכנסו לתוקף.
• ‫DEFAULT_SCORE_THRESHOLD: במקרה של מפתחות אתגר שמבוססים על מדיניות, הערך הזה מגדיר את סף האתגר האוניברסלי למפתח כשלא מוגדר סף מותאם אישית.
• ‫ACTION_SCORE_THRESHOLDS: במקרה של מפתחות אתגר שמבוססים על מדיניות, כאן מציינים את הפעולה ואת ערך הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  הערה: רק הציונים הסופיים שמחושבים אחרי כל האתגרים מוחזרים בהערכות. הציון הראשוני שמחושב על ידי Fraud Defense מושווה לסף.

מריצים את הפקודה gcloud recaptcha keys create:

‫Linux,‏ macOS או Cloud Shell

gcloud recaptcha keys create \
        --web \
        --display-name=DISPLAY_NAME  \
        --integration-type=INTEGRATION_TYPE \
        --domains=DOMAIN_NAME \

‏Windows (PowerShell)

gcloud recaptcha keys create `
        --web `
        --display-name=DISPLAY_NAME  `
        --integration-type=INTEGRATION_TYPE `
        --domains=DOMAIN_NAME `

Windows‏ (cmd.exe)

gcloud recaptcha keys create ^
        --web ^
        --display-name=DISPLAY_NAME  ^
        --integration-type=INTEGRATION_TYPE ^
        --domains=DOMAIN_NAME ^

התשובה תכיל את מפתח reCAPTCHA החדש שנוצר.

REST

למידע על סוגי מפתחות וסוגי שילובים, אפשר לעיין במאמרי העזרה של ה-API בנושא מפתח וסוג שילוב.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫INTEGRATION_TYPE: סוג השילוב. בהתאם לסוג המפתחות, מציינים את הערכים הבאים:
  • SCORE למקשים מבוססי-ניקוד.
  • ‫CHECKBOX למפתחות של תיבות סימון.
  • ‫POLICY_BASED_CHALLENGE policy-based challenge keys.
  הערה: אנחנו לא ממליצים להשתמש ב-CHECKBOX כי הוא מגדיל את החיכוך עם המשתמשים ולא משפר באופן משמעותי את הדיוק. מידע נוסף זמין בשאלות הנפוצות.
• ‫DISPLAY_NAME: השם של המפתח. בדרך כלל שם האתר.
• ‫DOMAIN_NAME: דומיינים או תת-דומיינים של אתרים שמורשים להשתמש במפתח.

  מציינים כמה דומיינים ברשימה שמופרדת בפסיקים.

  כדי להשתמש במפתח ביותר מ-250 דומיינים, צריך לציין --allow-all-domains כדי להשבית את אימות הדומיין. מערכת Google Cloud Fraud Defense תתעלם מרשימת הדומיינים. עליכם לבצע בעצמכם אימות דומיין על ידי בדיקת השדה tokenProperties.hostname בהערכות שאתם יוצרים.

  השבתת אימות הדומיין היא סיכון אבטחה כי אין הגבלות על האתר, ולכן כל אחד יכול לגשת למפתח reCAPTCHA ולהשתמש בו.

  הערה: מפתח reCAPTCHA הוא ייחודי לדומיינים ולתת-דומיינים שאתם מציינים. אפשר לציין יותר מדומיין אחד אם האתר שלכם מוגש מכמה דומיינים. אם מציינים דומיין (לדוגמה, examplepetstore.com), לא צריך לציין את תת-הדומיינים שלו (לדוגמה, subdomain.examplepetstore.com). יכול להיות שיחלפו עד 30 דקות עד שהשינויים ברשימת הדומיינים ייכנסו לתוקף.
• ‫DEFAULT_SCORE_THRESHOLD: במקרה של מפתחות אתגר שמבוססים על מדיניות, הערך הזה מגדיר את סף האתגר האוניברסלי למפתח כשלא מוגדר סף מותאם אישית.
• ‫ACTION_SCORE_THRESHOLDS: במקרה של מפתחות אתגר שמבוססים על מדיניות, כאן מציינים את הפעולה ואת ערך הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'.
  הערה: רק הציונים הסופיים שמחושבים אחרי כל האתגרים מוחזרים בהערכות. הציון הראשוני שמחושב על ידי Fraud Defense מושווה לסף.
• ‫DEFAULT_SCORE_THRESHOLD: במקרה של מפתחות אתגר שמבוססים על מדיניות, הערך הזה מגדיר את סף האתגר האוניברסלי למפתח כשלא מוגדר סף מותאם אישית. התכונה הזו נמצאת בתצוגה מקדימה.
• ‫ACTION_SCORE_THRESHOLDS: במקרה של מפתחות אתגר שמבוססים על מדיניות, כאן מציינים את הפעולה ואת ערך הסף התואם בין 0.0 ל-1.0. לדוגמה, login='{"scoreThreshold": "0.3"}',signup='{"scoreThreshold": "0.1"}'. התכונה הזו נמצאת בתצוגה מקדימה.
  הערה: רק הציונים הסופיים שמחושבים אחרי כל האתגרים מוחזרים בהערכות. הציון הראשוני שמחושב על ידי reCAPTCHA מושווה לסף.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

גוף בקשת JSON:

{
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowedDomains": "DOMAINS",
    "integrationType": "INTEGRATION_TYPE"
  }
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/project-id/keys/6Ldqgs0UAAAAAIn4k7YxEB-LwEh5S9-Gv6IIWB8m",
  "displayName": "DISPLAY_NAME",
  "webSettings": {
    "allowAllDomains": false,
    "allowedDomains": [
      DOMAINS
    ],
    "allowAmpTraffic": false,
    "integrationType": "SCORE",
    "challengeSecurityPreference": "CHALLENGE_SECURITY_PREFERENCE_UNSPECIFIED"
  }
}

הערה: אחרי שיוצרים מפתחות reCAPTCHA, אפשר לערוך או למחוק אותם. אי אפשר לשחזר מפתחות שנמחקו. בנוסף, אי אפשר להעביר מפתחות reCAPTCHA Google Cloud מפרויקט אחד לפרויקט אחר.

(אופציונלי) איתור מפתח סודי של reCAPTCHA מדור קודם

אם רוצים לבצע שילוב עם אפליקציית צד שלישי שלא נעשה בה שימוש ב-reCAPTCHA Enterprise API, צריך את המפתח הסודי מדור קודם.

לכל מפתח אתר שיוצרים, reCAPTCHA יוצר מפתח סודי מדור קודם (מפתח סודי מדור קודם), שאפשר להשתמש בו עם אפליקציית צד שלישי.

הערה: אפליקציות או פלאגינים של צד שלישי מתייחסים לעיתים קרובות למפתח הסודי מדור קודם הזה כמפתח פרטי או כמפתח סודי.

אם אתם צריכים את המפתח הסודי של מפתח reCAPTCHA Classic, אתם צריכים להעביר את המפתח ל-reCAPTCHA Google Cloud ולמצוא את המפתח הסודי מדור קודם.

הערה: לא מומלץ להשתמש במפתח סודי מדור קודם בקצה הקדמי, כי הוא יהיה גלוי למשתמשים ותוקפים יוכלו לנצל לרעה את האפליקציה.

כדי למצוא את מפתח הסוד מהגרסה הקודמת:

1. נכנסים לדף Fraud Defense במסוף Google Cloud .

   מעבר אל 'הגנה מפני הונאה'

2. לוחצים על הכרטיסייה Keys.

3. בקטע reCAPTCHA Keys (מפתחות reCAPTCHA), מוצאים את מפתח reCAPTCHA שיצרתם ולוחצים עליו.

   

4. בדף Key Details (פרטי המפתח), בכרטיסייה Integration (שילוב), לוחצים על Use Legacy Key (שימוש במפתח מדור קודם). תיפתח תיבת דו-שיח עם הוראות לשימוש במפתח הסודי מדור קודם.

   

המאמרים הבאים

• מטמיעים מפתחות שמבוססים על ניקוד בדפי האינטרנט.
• הטמעה של מקשי תיבת סימון בדפי האינטרנט
• הטמעה של מפתחות אתגרים מבוססי-מדיניות בדפי האינטרנט