הסבר על בדיקות של אתרים

בדף הזה מוסבר איך לפרש את הניקוד כדי להבין את רמת הסיכון שנובעת מאינטראקציות של משתמשים, ולבצע את הפעולות המתאימות באתר.

מערכת reCAPTCHA מחזירה ניקוד לכל בקשה על סמך האינטראקציות עם האתר, בלי קשר לסוג המפתח. אחרי שמקבלים את הניקוד מ-reCAPTCHA, צריך לפרש אותו ולבצע את הפעולות המתאימות באתר.

לפני שמתחילים

יוצרים בדיקה לאתר.

איך לפרש את ההערכה

אחרי שהבק-אנד שולח ל-reCAPTCHA את טוקן התשובה של המשתמש, אתם מקבלים הערכה כתגובת JSON, כמו בדוגמה הבאה.

כדי לפרש הערכה, צריך להביא בחשבון את הפרמטרים הבאים:

  • ‫valid: מציין אם אסימון התגובה של המשתמש שסופק תקין. כשהערך הוא valid = false, הסיבה מצוינת בשדה invalidReason. הערך valid = false יכול גם להצביע על כך שהמשתמש לא הצליח לפתור אתגר או שיש חוסר התאמה ב-siteKey.
  • invalidReason: הסיבה שמשויכת לתגובה כש-valid = false.
  • ‫action: אינטראקציה של משתמש שהפעילה אימות מסוג reCAPTCHA.
  • ‫expectedAction: הפעולה הצפויה מהמשתמש שציינתם כשיצרתם את ההערכה.
  • ‫score: רמת הסיכון שנובעת מהאינטראקציה של המשתמש. ציון גבוה יותר מצביע על סיכון נמוך יותר.
  • ‫reasons: מידע נוסף על האופן שבו reCAPTCHA פירש את האינטראקציה של המשתמש.
  • ‫challenge: מציין את התגובה לאתגר של מפתחות אתגר שמבוססים על מדיניות. ערכים אפשריים: PASSED,‏ FAILED או NOCAPTCHA.

  • extendedVerdictReasons: חשיבה רציונלית משופרת שתורמת לקביעת ניתוח הסיכונים.

    קודי הסיבות זמינים אחרי שמפעילים בדיקת אבטחה אוטומטית על ידי הוספת חשבון לחיוב לפרויקט. כדי לבקש גישה לקודי הסיבות, צריך להוסיף לפרויקט חשבון לחיוב.

    הערכות מפרויקטים עם מינוי Enterprise מקבלות גם קודי סיבות מתקדמים. כדי לקבל את הרשימה המלאה של סיבות החשיבה הרציונלית המשופרת והסבר איך לפרש אותן, פנו לאיש הקשר האחראי לחשבון או לGoogle Cloud צוות המכירות.

    {
 "event":{
    "expectedAction":"EXPECTED_ACTION",
    "userInfo":{
      "accountId":"ACCOUNT_ID"
    },
    "siteKey":"KEY_ID",
    "token":"TOKEN",
    "userAgent":"(USER-PROVIDED STRING)",
    "userIpAddress":"USER_PROVIDED_IP_ADDRESS"
 },
 "name":"ASSESSMENT_ID",
 "riskAnalysis":{
   "reasons":[],
   "extendedVerdictReasons":[],
   "score":"SCORE",
   "challenge":"PASSED"
 },
 "tokenProperties":{
   "action":"USER_INTERACTION",
   "createTime":"TIMESTAMP",
   "hostname":"HOSTNAME",
   "invalidReason":"(ENUM)",
   "valid":(BOOLEAN)
 }
}

אימות פעולות

תגובת ה-JSON מכילה את הפרמטר action שציינתם לאינטראקציה של המשתמש כשקראתם ל-execute(), ואת הפרמטר expectedAction שציינתם כשיצרתם את הבדיקה.

מוודאים שהערך של action תואם לערך של expectedAction. לדוגמה, פעולת login אמורה להיות מוחזרת בדף ההתחברות. אם אין התאמה, זה אומר שתוקף מנסה לזייף פעולות. אתם יכולים לבצע פעולות בתגובה לאינטראקציה של המשתמש, כמו הוספת אימותים או חסימת האינטראקציה כדי למנוע פעילויות שמקורן בתרמית.

פירוש הציונים

מערכת הניקוד של reCAPTCHA היא הרחבה של גרסאות קודמות של reCAPTCHA, שמאפשרת רמת פירוט גבוהה יותר בתגובות. ל-reCAPTCHA יש 11 רמות של ניקוד, עם ערכים שנעים בין 0.0 ל-1.0. הציון 1.0 מציין שהאינטראקציה היא בסיכון נמוך וסביר מאוד שהיא לגיטימית, ואילו הציון 0.0 מציין שהאינטראקציה היא בסיכון גבוה ויכול להיות שהיא הונאה.

מתוך 11 הרמות, רק ארבע רמות הניקוד הבאות זמינות לפני שמוסיפים לפרויקט חשבון לחיוב כדי להפעיל בדיקת אבטחה אוטומטית: 0.1,‏ 0.3,‏ 0.7 ו-0.9.

כדי לבקש גישה ל-11 רמות ניקוד, צריך להוסיף לפרויקט חשבון לחיוב.

ציון הסיכון של ההגנה על סמס פועל באופן הפוך בהשוואה לציון הגלובלי של reCAPTCHA. ציון סיכון של 0.0 בהגנה על סמס מצביע על סבירות נמוכה להונאת תשלום קבוע בסמס. ציון סיכון של 1.0 מצביע על סבירות גבוהה להונאת תשלום קבוע בסמס.

מערכת reCAPTCHA לומדת על ידי מעקב אחרי התנועה בפועל באתר. לכן, יכול להיות שהניקוד בסביבת Staging ובמהלך 7 הימים הראשונים של ההטמעה יהיה שונה מהניקוד בסביבת הייצור לטווח הארוך.

אם התקנתם מפתחות שמבוססים על ניקוד, אתם יכולים להפעיל את reCAPTCHA בלי לבצע פעולה, ואז להחליט על ערכי הסף לפי התנועה.

בהתאם לציון, אתם יכולים לבצע פעולה מתאימה בהקשר של האתר שלכם. כדי להגן על האתר בצורה טובה יותר, מומלץ לבצע את הפעולה ברקע במקום לחסום את התנועה.

בטבלה הבאה מפורטות כמה מהפעולות שאפשר לבצע:

תרחיש לדוגמה פעולה
דף הבית אפשר לראות תצוגה מקיפה של התנועה במסוף Admin תוך סינון של סקראפרים.
login אם הניקוד נמוך, כדאי לדרוש אימות רב-שלבי או אימות באימייל כדי למנוע התקפות של דחיסת פרטי כניסה.
רשתות חברתיות, סושיאל הגבלת בקשות חברות שלא נענו ממשתמשים פוגעניים ושליחת תגובות מסוכנות לניהול תגובות.
מסחר אלקטרוני העדיפו את המכירות האמיתיות שלכם על פני בוטים וזהו עסקאות מסוכנות.

קודי סיבה

קודי הסיבות זמינים אחרי שמפעילים בדיקת אבטחה אוטומטית על ידי הוספת חשבון לחיוב לפרויקט. כדי לבקש גישה לקודי הסיבות, צריך להוסיף לפרויקט חשבון לחיוב.

יכול להיות שחלק מהניקוד יוחזר עם קודי סיבה שמספקים מידע נוסף על האופן שבו reCAPTCHA פירש את האינטראקציות.

בטבלה הבאה מפורטים קודי הסיבות והתיאורים שלהם:

קוד סיבה תיאור
אוטומציה האינטראקציה תואמת להתנהגות של נציג אוטומטי.
UNEXPECTED_ENVIRONMENT האירוע הגיע מסביבה לא חוקית.
TOO_MUCH_TRAFFIC נפח התנועה ממקור האירוע גבוה מהרגיל.
UNEXPECTED_USAGE_PATTERNS האינטראקציה עם האתר הייתה שונה באופן משמעותי מהדפוסים הצפויים.
LOW_CONFIDENCE_SCORE התקבלה מעט מדי תנועה מהאתר הזה כדי ליצור ניתוח סיכונים איכותי.

תשובה מה-method‏ siteverify

פרטים על בקשות, תגובות וקודי שגיאה של השיטה siteverify מופיעים במאמר אימות טוקנים של תגובות משתמשים באמצעות SiteVerify מדור קודם.

המאמרים הבאים

  • כדי לכוונן את המודל הספציפי לאתר, אתם יכולים לשלוח את מזהי ההערכות בחזרה ל-Google כדי לאשר תוצאות חיוביות אמיתיות ותוצאות שליליות אמיתיות, או לתקן שגיאות. פרטים נוספים זמינים במאמר הוספת הערות למטלות.