Interpréter des évaluations pour des applications mobiles

Cette page explique comment interpréter un score pour comprendre le niveau de risque des interactions utilisateur et prendre les mesures appropriées pour votre application mobile.

reCAPTCHA renvoie un score pour chaque requête en fonction des interactions avec votre application mobile. Une fois que vous avez reçu le score de reCAPTCHA, vous devez l'interpréter et prendre les mesures appropriées pour votre application mobile.

Avant de commencer

Créez une évaluation pour votre application mobile.

Interpréter l'évaluation

Une fois que votre backend a envoyé le jeton de réponse reCAPTCHA d'un utilisateur à reCAPTCHA, vous recevez une évaluation sous la forme d'une réponse JSON, comme illustré dans l'exemple suivant.

Pour interpréter une évaluation, vous devez prendre en compte les paramètres suivants :

  • valid : indique si le jeton de réponse utilisateur fourni est valide. Lorsque valid = false, la raison est spécifiée dans invalidReason. valid = false peut également indiquer qu'un utilisateur n'a pas réussi à résoudre un challenge ou qu'il existe une incompatibilité sitekey.
  • invalidReason : motif associé à la réponse lorsque valid = false.
  • action : interaction utilisateur qui a déclenché la validation reCAPTCHA.
  • expectedAction : action attendue d'un utilisateur que vous avez spécifiée lors de la création de l'évaluation.
  • score : niveau de risque lié à l'interaction de l'utilisateur.
  • reasons : informations supplémentaires sur la façon dont reCAPTCHA a interprété l'interaction de l'utilisateur.

  • extendedVerdictReasons : raisonnement avancé ayant contribué aux résultats de l'analyse des risques.

    Les codes de motif sont disponibles après le déclenchement d'un examen de sécurité automatique en ajoutant un compte de facturation à votre projet. Pour demander l'accès aux codes de motif, ajoutez un compte de facturation à votre projet.

    Les évaluations des projets avec un abonnement Enterprise reçoivent également des codes de motif avancés. Contactez votre responsable de compte ou le service commercialGoogle Cloud pour obtenir la liste complète des raisons avancées et savoir comment les interpréter.

    {
 "event":{
    "expectedAction":"EXPECTED_ACTION",
    "userInfo":{
      "accountId":"ACCOUNT_ID"
    },
    "siteKey":"KEY_ID",
    "token":"TOKEN",
    "userAgent":"(USER-PROVIDED STRING)",
    "userIpAddress":"USER_PROVIDED_IP_ADDRESS"
 },
 "name":"ASSESSMENT_ID",
 "riskAnalysis":{
   "reasons":[],
   "extendedVerdictReasons":[],
   "score":"SCORE"
 },
 "tokenProperties":{
   "action":"USER_INTERACTION",
   "androidPackageName":"ANDROID_PACKAGE_NAME",
   "createTime":"TIMESTAMP",
   "invalidReason":"(ENUM)",
   "iosBundleId":"IOS_BUNDLE_ID",
   "valid":(BOOLEAN)
 }
}

Vérifier les actions

La réponse JSON contient le paramètre action que vous avez spécifié pour une interaction de l'utilisateur lors de l'appel de execute(), et le paramètre expectedAction que vous avez spécifié lors de la création de l'évaluation.

Vérifiez que action correspond à expectedAction. Par exemple, une action login doit être renvoyée sur votre page de connexion. En cas de non-concordance, cela signifie qu'un pirate informatique tente de falsifier des actions. Vous pouvez prendre des mesures contre l'interaction de l'utilisateur, comme ajouter des validations supplémentaires ou bloquer l'interaction pour éviter toute activité frauduleuse.

Interprétation des scores

Le système de notation de reCAPTCHA est une extension des versions précédentes de reCAPTCHA qui permet d'obtenir une plus grande précision dans les réponses. reCAPTCHA comporte 11 niveaux de scores, avec des valeurs comprises entre 0,0 et 1,0. Le score 1,0 indique que l'interaction présente un risque faible et est très certainement légitime, tandis que 0,0 indique que l'interaction présente un risque élevé et peut être frauduleuse. Sur les 11 niveaux, seuls les quatre niveaux de score suivants sont disponibles avant de déclencher un examen de sécurité automatique en ajoutant un compte de facturation à votre projet : 0,1, 0,3, 0,7 et 0,9.

Pour demander l'accès à 11 niveaux de score, ajoutez un compte de facturation à votre projet.

reCAPTCHA apprend en surveillant le trafic réel sur votre application mobile. Par conséquent, les scores obtenus dans un environnement de préproduction et dans les sept jours suivant l'implémentation peuvent différer des scores de production à long terme.

Comme les clés reCAPTCHA pour les applications mobiles n'interrompent pas le parcours utilisateur, vous pouvez d'abord exécuter reCAPTCHA sans prendre de mesures, puis définir des seuils en examinant le trafic.

En fonction du score, vous pouvez prendre une mesure appropriée dans le contexte de votre application mobile. Pour mieux protéger votre application mobile, nous vous recommandons d'effectuer l'action en arrière-plan au lieu de bloquer le trafic.

Le tableau suivant répertorie certaines des actions que vous pouvez effectuer :

Cas d'utilisation Action
connexion Dans le cas d'un score faible, la validation MFA ou la validation de l'adresse e-mail est requise pour empêcher les attaques par bourrage d'identifiants.
social Limitez les demandes d'amis sans réponse des utilisateurs mal intentionnés et envoyez les commentaires risqués à la modération.
ecommerce Faites passer vos ventes réelles avant les bots et identifiez les transactions risquées.

Codes de motifs

Les codes de motif sont disponibles après le déclenchement d'un examen de sécurité automatique en ajoutant un compte de facturation. Pour demander l'accès aux codes de motif, ajoutez un compte de facturation à votre projet.

Certains scores peuvent être renvoyés avec des codes de motif qui fournissent des informations supplémentaires sur la façon dont reCAPTCHA a interprété les interactions.

Le tableau suivant répertorie les codes de motifs et leurs descriptions :

Code du motif Description
AUTOMATION L'interaction correspond au comportement d'un agent automatisé.
UNEXPECTED_ENVIRONMENT L'événement provient d'un environnement illégitime.
TOO_MUCH_TRAFFIC Le volume de trafic provenant de la source de l'événement est supérieur à la normale.
UNEXPECTED_USAGE_PATTERNS L'interaction avec votre site s'est montrée très différente des modèles attendus.
LOW_CONFIDENCE_SCORE Le trafic en provenance de ce site est insuffisant pour générer une analyse des risques de qualité.

Étape suivante

  • Pour ajuster le modèle spécifique à votre site, vous pouvez renvoyer à Google les ID d'évaluation afin de confirmer les vrais positifs et vrais négatifs, ou corriger les erreurs. Pour en savoir plus, consultez Annoter des évaluations.