Configurer le moteur de règles avec une clé universelle

Aperçu

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Ce document explique comment configurer le moteur de stratégies sur votre site Web à l'aide d'une clé universelle. La clé universelle est une nouvelle clé Google Cloud Fraud Defense qui permet de créer des règles dans le moteur de stratégies.

Avec le moteur de stratégies, Fraud Defense peut déclencher de manière déterministe des tests CAPTCHA en fonction des règles de stratégie personnalisées que vous configurez. Ces règles peuvent décider quand afficher un test Fraud Defense en fonction des scores de risque, des adresses IP, des user-agents, des ASN ou des identités de bots vérifiés (agents IA).

La configuration du moteur de stratégies Fraud Defense offre deux fonctionnalités principales :

• Intégration AutoExecute (protected_endpoint_group) : simplifie l'intégration JavaScript du frontend en inspectant automatiquement les requêtes réseau asynchrones sortantes et en leur associant des jetons reCAPTCHA, de sorte qu'un seul tag de script soit nécessaire sur votre frontend.
• Règles de test (challenge_rule_groups) : détermine s'il faut afficher un test pour différentes actions utilisateur et configure les niveaux de difficulté de test associés (USABILITY, BALANCE, SECURITY) à l'aide de règles personnalisées basées sur CEL.

Avant de commencer

1. Préparer votre environnement pour Google Cloud Fraud Defense

2. Vérifiez que la facturation est activée pour votre projet Google Cloud .

   Un compte de facturation associé et activé est requis pour utiliser le moteur de stratégies. Vous pouvez activer la facturation à l'aide d'une carte de crédit ou d'un ID de compte de facturation de projet Google Cloud existant. Si vous avez besoin d'aide concernant la facturation, contactez l'assistance Cloud Billing.

Créer une clé universelle

Selon l'interface de votre choix, sélectionnez l'option appropriée pour créer une clé universelle :

Console

1. Dans la console Google Cloud , accédez à la page Google Cloud Fraud Defense.

   Accéder à Google Cloud Fraud Defense

2. Vérifiez que le nom de votre projet s'affiche dans le sélecteur de projet en haut de la page.

   Si le nom de votre nouveau projet n'apparaît pas, cliquez sur le sélecteur de projet, puis sélectionnez votre projet.

3. Sélectionnez l'onglet Keys (clés).
4. Cliquez sur Créer une clé.
5. Dans le champ Nom à afficher, saisissez un nom à afficher pour la clé.
6. Pour le type d'application, sélectionnez Universelle.
7. Cliquez sur Créer une clé.

La nouvelle clé est répertoriée sur la page Clés reCAPTCHA.

gcloud

Pour créer une clé universelle à l'aide de la Google Cloud CLI, utilisez la commande gcloud recaptcha keys create avec l'option --universal :

gcloud recaptcha keys create --universal --display-name=DISPLAY_NAME

La réponse contient la clé universelle que vous venez de créer.

API REST

Pour créer une clé universelle à l'aide de l'API REST, utilisez la méthode projects.keys.create et spécifiez universalSettings :

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

{
  "displayName": "DISPLAY_NAME",
  "universalSettings": {}
}

Remplacez les éléments suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• DISPLAY_NAME : nom à afficher pour votre clé, généralement le nom de votre site Web

La réponse contient la clé universelle que vous venez de créer.

Configurer des domaines pour le moteur de stratégies

Remarque : Pour les sites Web, la clé reCAPTCHA est unique pour les domaines et sous-domaines que vous spécifiez. Vous pouvez spécifier plusieurs domaines si vous diffusez votre site Web à partir de plusieurs domaines. Si vous spécifiez un domaine (par exemple, examplepetstore.com), vous n'avez pas besoin de spécifier ses sous-domaines (par exemple, subdomain.examplepetstore.com).

Selon l'interface de votre choix, sélectionnez l'option appropriée pour configurer les domaines autorisés pour votre clé universelle :

Console

1. Dans la console Google Cloud , accédez à la page Fraud Defense.

   Accéder à Fraud Defense

2. Vérifiez que le nom de votre projet apparaît dans le sélecteur de ressources en haut de la page.

   Si vous ne voyez pas le nom de votre projet, cliquez sur le sélecteur de ressources, puis sélectionnez votre projet.

3. Cliquez sur l'onglet Clés.

4. Identifiez la clé universelle que vous souhaitez configurer, puis cliquez dessus.

5. Sur la page Détails de la clé, cliquez sur Modifier la clé.

6. Identifiez la section Paramètres d'utilisation de la clé.

   Pour protéger la clé reCAPTCHA de votre domaine et de vos sous-domaines, assurez-vous que l'option Désactiver la validation du domaine est désactivée.

   La désactivation de la validation de domaine présente un risque de sécurité, car il n'y a aucune restriction sur le site. Votre clé reCAPTCHA est donc accessible et utilisable par n'importe qui.

   Saisissez le nom de domaine de votre site Web :

   1. Dans la section Liste de domaines, cliquez sur Ajouter un domaine.
   2. Dans le champ Domaine, saisissez le nom de votre domaine.
   3. Facultatif : Pour ajouter un domaine supplémentaire, cliquez sur Ajouter un domaine, puis saisissez le nom d'un autre domaine dans le champ Domaine. Vous pouvez ajouter jusqu'à 250 domaines.

7. Cliquez sur Enregistrer les modifications.

Remarque : Pour utiliser une règle sur plus de 250 domaines, cliquez sur le bouton Désactiver la validation du domaine. Lorsque la validation du domaine est désactivée, Fraud Defense ignore la liste des domaines et vous devez valider vous-même le domaine en examinant le champ tokenProperties.hostname dans les évaluations que vous créez.

gcloud

Pour mettre à jour les domaines autorisés pour votre clé universelle à l'aide de la Google Cloud CLI, utilisez la commande gcloud alpha recaptcha policies update et spécifiez les domaines dans un fichier de configuration de stratégie (par exemple, POLICY.yaml) :

gcloud alpha recaptcha policies update --key=KEY_ID --policy=POLICY.yaml

Remarque : La commande gcloud alpha recaptcha policies update met à jour l'intégralité de la stratégie. Tout protected_endpoint_group ou challenge_rule_groups existant doit être inclus dans le fichier POLICY.yaml pour éviter qu'il ne soit supprimé.

Le fichier POLICY.yaml doit spécifier les domaines autorisés sous clientSettings :

clientSettings:
  allowedDomains:
    - DOMAIN_NAME_1
    - DOMAIN_NAME_2

Pour autoriser tous les domaines et désactiver la validation du domaine, définissez allowAllDomains sur true dans votre fichier POLICY.yaml :

clientSettings:
  allowAllDomains: true

Remplacez les éléments suivants :

• KEY_ID : ID ou nom complet de la ressource de votre clé universelle
• DOMAIN_NAME_1, DOMAIN_NAME_2 : noms de domaine des sites Web autorisés à utiliser la clé

Remarque : Lorsque allowAllDomains est défini sur true, Fraud Defense ignore la liste de domaines, et vous devez valider vous-même le domaine en examinant le champ tokenProperties.hostname dans les évaluations que vous créez.

API REST

Pour mettre à jour les domaines autorisés pour votre clé universelle à l'aide de l'API REST, utilisez la méthode projects.keys.updatePolicy.

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

• PROJECT_ID : ID de votre projet Google Cloud
• KEY_ID : ID de votre clé universelle
• DOMAIN_NAME_1, DOMAIN_NAME_2 : noms de domaine des sites Web autorisés à utiliser la clé

Méthode HTTP et URL :

PATCH https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains

Corps JSON de la requête :

{
"clientSettings": {
  "allowedDomains": [
    "DOMAIN_NAME_1",
    "DOMAIN_NAME_2"
  ],
  "allowAllDomains": false
}
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains" | Select-Object -Expand Content

Si la requête aboutit, elle renvoie la configuration de stratégie mise à jour.

Remarque : Pour utiliser une règle sur plus de 250 domaines, définissez allowAllDomains sur true dans le corps de la requête. Lorsque allowAllDomains est défini sur true, Fraud Defense ignore la liste de domaines et vous devez valider vous-même le domaine en examinant le champ tokenProperties.hostname dans les évaluations que vous créez.

Étapes suivantes

• Installez les clés universelles sur les pages Web.