Configura el motor de políticas con una clave universal

Vista previa

Este producto o función está sujeto a las "Condiciones de la oferta previa a la DG" en la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio. Los productos y las funciones de la fase previa a la DG están disponibles “tal como están” y pueden estar sujetos a asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

En este documento, se describe cómo puedes configurar Policy Engine en tu sitio web con una clave universal. La clave universal es una nueva clave de Google Cloud Fraud Defense que admite la creación de reglas dentro de Policy Engine.

Con Policy Engine, Fraud Defense puede activar desafíos de CAPTCHA de forma determinística según las reglas de política personalizadas que configures. Estas reglas pueden decidir cuándo mostrar un desafío de Fraud Defense según las puntuaciones de riesgo, las direcciones IP, los usuarios-agentes, los ASN o las identidades de bots (agentes de IA) verificados.

La configuración del motor de políticas de Fraud Defense proporciona dos funciones principales:

• Integración de AutoExecute (protected_endpoint_group): Simplifica la integración de JavaScript de frontend inspeccionando automáticamente las solicitudes de red asíncronas salientes y adjuntándoles tokens de reCAPTCHA, de modo que solo se necesite una etiqueta de secuencia de comandos en tu frontend.
• Políticas de desafío (challenge_rule_groups): Determina si se debe mostrar un desafío en diferentes acciones del usuario y configura los niveles de dificultad del desafío asociados (USABILITY, BALANCE, SECURITY) con reglas personalizadas basadas en CEL.

Antes de comenzar

1. Prepara tu entorno para Google Cloud Fraud Defense.

2. Verifica que la facturación esté habilitada para tu proyecto de Google Cloud .

   Se requiere una cuenta de facturación vinculada y habilitada para usar Policy Engine. Puedes habilitar la facturación con una tarjeta de crédito o un ID de facturación del proyecto de Google Cloud existente. Si necesitas ayuda con la facturación, comunícate con el equipo de asistencia de Facturación de Cloud.

Crea una llave universal

Según la interfaz que prefieras, elige la opción adecuada para crear una clave universal:

Console

1. En la consola de Google Cloud , ve a la página Google Cloud Fraud Defense.

   Ir a Google Cloud Fraud Defense

2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos en la parte superior de la página.

   Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

3. Selecciona la pestaña Keys.
4. Haz clic en Crear clave.
5. En el campo Nombre visible, ingresa un nombre visible para la clave.
6. En Tipo de aplicación, selecciona Universal.
7. Haz clic en Crear clave.

La clave recién creada aparece en la página Claves de reCAPTCHA.

gcloud

Para crear una clave universal con Google Cloud CLI, usa el comando gcloud recaptcha keys create con la marca --universal:

gcloud recaptcha keys create --universal --display-name=DISPLAY_NAME

La respuesta contiene la clave universal recién creada.

API de REST

Para crear una clave universal con la API de REST, usa el método projects.keys.create y especifica universalSettings:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

{
  "displayName": "DISPLAY_NAME",
  "universalSettings": {}
}

Reemplaza lo siguiente:

• PROJECT_ID: Es el ID del proyecto de Google Cloud .
• DISPLAY_NAME: un nombre visible para tu clave, que suele ser el nombre de tu sitio web

La respuesta contiene la clave universal recién creada.

Configura dominios para Policy Engine

Nota: En el caso de los sitios web, la clave de reCAPTCHA es única para los dominios y subdominios que especifiques. Puedes especificar más de un dominio si publicas tu sitio web desde varios dominios. Si especificas un dominio (por ejemplo, examplepetstore.com), no es necesario que especifiques sus subdominios (por ejemplo, subdomain.examplepetstore.com).

Según la interfaz que prefieras, elige la opción adecuada para configurar los dominios permitidos para tu clave universal:

Console

1. En la consola de Google Cloud , ve a la página Fraud Defense.

   Ir a Fraud Defense

2. Verifica que el nombre de tu proyecto aparezca en el selector de recursos en la parte superior de la página.

   Si no ves el nombre de tu proyecto, haz clic en el selector de recursos y, luego, selecciona tu proyecto.

3. Haz clic en la pestaña Claves.

4. Identifica la clave universal que deseas configurar y haz clic en ella.

5. En la página Detalles de la clave, haz clic en Editar clave.

6. Identifica la sección Configuración de uso de claves.

   Para proteger la clave de reCAPTCHA de tu dominio y subdominios, asegúrate de que el botón de activación Inhabilitar la verificación del dominio esté desactivado.

   Inhabilitar la verificación del dominio es un riesgo de seguridad, ya que no hay restricciones en el sitio, por lo que cualquier persona puede acceder a tu clave de reCAPTCHA y usarla.

   Ingresa el nombre de dominio de tu sitio web:

   1. En la sección Lista de dominios, haz clic en Agregar un dominio.
   2. En el campo Dominio, ingresa el nombre de tu dominio.
   3. Opcional: Para agregar un dominio adicional, haz clic en Agregar un dominio y, luego, ingresa el nombre de otro dominio en el campo Dominio. Puedes agregar hasta 250 dominios.

7. Haz clic en Guardar cambios.

Nota: Para usar una política en más de 250 dominios, haz clic en el botón de activación Inhabilitar la verificación de dominio. Cuando la verificación de dominio está inhabilitada, Fraud Defense ignora la lista de dominios, y debes realizar la verificación de dominio por tu cuenta examinando el campo tokenProperties.hostname en las evaluaciones que crees.

gcloud

Para actualizar los dominios permitidos de tu clave universal con Google Cloud CLI, usa el comando gcloud alpha recaptcha policies update y especifica los dominios en un archivo de configuración de política (por ejemplo, POLICY.yaml):

gcloud alpha recaptcha policies update --key=KEY_ID --policy=POLICY.yaml

Nota: El comando gcloud alpha recaptcha policies update actualiza toda la política. Cualquier protected_endpoint_group o challenge_rule_groups existente debe incluirse en el archivo POLICY.yaml para evitar que se borre.

El archivo POLICY.yaml debe especificar los dominios permitidos en clientSettings:

clientSettings:
  allowedDomains:
    - DOMAIN_NAME_1
    - DOMAIN_NAME_2

Como alternativa, para permitir todos los dominios e inhabilitar la verificación de dominios, establece allowAllDomains en true en tu archivo POLICY.yaml:

clientSettings:
  allowAllDomains: true

Reemplaza lo siguiente:

• KEY_ID: el ID o el nombre completo del recurso de tu clave universal
• DOMAIN_NAME_1, DOMAIN_NAME_2: Son los nombres de dominio de los sitios web que pueden usar la clave.

Nota: Cuando allowAllDomains se establece en true, Fraud Defense ignora la lista de dominios, y debes realizar la verificación del dominio por tu cuenta examinando el campo tokenProperties.hostname en las evaluaciones que crees.

API de REST

Para actualizar los dominios permitidos para tu clave universal con la API de REST, usa el método projects.keys.updatePolicy.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• PROJECT_ID: Es el ID del proyecto de Google Cloud .
• KEY_ID: Es el ID de tu clave universal.
• DOMAIN_NAME_1, DOMAIN_NAME_2: Son los nombres de dominio de los sitios web que pueden usar la clave.

Método HTTP y URL:

PATCH https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains

Cuerpo JSON de la solicitud:

{
"clientSettings": {
  "allowedDomains": [
    "DOMAIN_NAME_1",
    "DOMAIN_NAME_2"
  ],
  "allowAllDomains": false
}
}

Para enviar tu solicitud, expande una de estas opciones:

curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login , o a través del uso de Cloud Shell, que accede de forma automática a gcloud CLI . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains"

PowerShell (Windows)

Nota: El siguiente comando supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains" | Select-Object -Expand Content

Si se realiza correctamente, la solicitud devuelve la configuración de la política actualizada.

Nota: Para usar una política en más de 250 dominios, establece allowAllDomains en true en el cuerpo de la solicitud. Cuando allowAllDomains se establece en true, Fraud Defense ignora la lista de dominios, y debes realizar la verificación del dominio por tu cuenta examinando el campo tokenProperties.hostname en las evaluaciones que crees.

¿Qué sigue?

• Instala claves universales en páginas web.