Policy Engine mit einem universellen Schlüssel einrichten

Vorschau

Dieses Produkt oder diese Funktion unterliegt den „Pre-GA-Angebotsbedingungen“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte und -Features sind "im Ist-Zustand" verfügbar und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

In diesem Dokument wird beschrieben, wie Sie die Policy Engine auf Ihrer Website mit einem Universalschlüssel konfigurieren. Der universelle Schlüssel ist ein neuer Google Cloud Fraud Defense-Schlüssel, der das Erstellen von Regeln in der Policy Engine unterstützt.

Mit der Policy Engine kann Fraud Defense deterministisch CAPTCHA-Aufgaben basierend auf von Ihnen konfigurierten benutzerdefinierten Richtlinienregeln auslösen. Diese Regeln können anhand von Risikobewertungen, IP-Adressen, User Agents, ASNs oder verifizierten Bot-Identitäten (KI-Agenten) entscheiden, wann eine Fraud Defense-Bestätigung angezeigt werden soll.

Die Konfiguration der Fraud Defense Policy Engine bietet zwei Hauptfunktionen:

• AutoExecute-Integration (protected_endpoint_group): Vereinfacht die Frontend-JavaScript-Integration, indem ausgehende asynchrone Netzwerkanfragen automatisch geprüft und reCAPTCHA-Tokens angehängt werden. So ist nur ein Script-Tag im Frontend erforderlich.
• Challenge-Richtlinien (challenge_rule_groups): Bestimmt, ob eine Challenge für verschiedene Nutzeraktionen angezeigt werden soll, und konfiguriert die zugehörigen Challenge-Schwierigkeitsgrade (USABILITY, BALANCE, SECURITY) mithilfe benutzerdefinierter CEL-basierter Regeln.

Hinweis

1. Umgebung für Google Cloud Fraud Defense vorbereiten

2. Prüfen Sie, ob die Abrechnung für Ihr Google Cloud -Projekt aktiviert ist.

   Für die Verwendung der Policy Engine ist ein verknüpftes und aktiviertes Rechnungskonto erforderlich. Sie können die Abrechnung entweder mit einer Kreditkarte oder einer vorhandenen Google Cloud -Projektabrechnungs-ID aktivieren. Wenn Sie Hilfe bei der Abrechnung benötigen, wenden Sie sich an den Cloud Billing-Support.

Universalschlüssel erstellen

Wählen Sie je nach bevorzugter Schnittstelle die entsprechende Option zum Erstellen eines Universalschlüssels aus:

Console

1. Rufen Sie in der Google Cloud Console die Seite Google Cloud Fraud Defense auf.

   Zu Google Cloud Fraud Defense

2. Prüfen Sie, ob der Name Ihres Projekts in der Ressourcenauswahl oben auf der Seite angezeigt wird.

   Wenn Sie den Namen Ihres Projekts nicht sehen, klicken Sie auf die Ressourcenauswahl und wählen Sie Ihr Projekt aus.

3. Wählen Sie den Tab Keys aus.
4. Klicken Sie auf Schlüssel erstellen.
5. Geben Sie im Feld Anzeigename einen Anzeigenamen für den Schlüssel ein.
6. Wählen Sie als Anwendungstyp die Option Universal aus.
7. Klicken Sie auf Schlüssel erstellen.

Der neu erstellte Schlüssel wird auf der Seite reCAPTCHA-Schlüssel aufgeführt.

gcloud

Verwenden Sie den Befehl gcloud recaptcha keys create mit dem Flag --universal, um einen Universalschlüssel mit der Google Cloud CLI zu erstellen:

gcloud recaptcha keys create --universal --display-name=DISPLAY_NAME

Die Antwort enthält den neu erstellten Universalschlüssel.

REST API

Wenn Sie einen Universalschlüssel mit der REST API erstellen möchten, verwenden Sie die Methode projects.keys.create und geben Sie universalSettings an:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

{
  "displayName": "DISPLAY_NAME",
  "universalSettings": {}
}

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Google Cloud -Projekt-ID
• DISPLAY_NAME: ein Anzeigename für Ihren Schlüssel, in der Regel der Name Ihrer Website

Die Antwort enthält den neu erstellten Universalschlüssel.

Domains für die Policy Engine konfigurieren

Hinweis: Bei Websites ist der reCAPTCHA-Schlüssel für die von Ihnen angegebenen Domains und Subdomains eindeutig. Sie können mehrere Domains angeben, wenn Sie Ihre Website über mehrere Domains bereitstellen. Wenn Sie eine Domain angeben (z. B. examplepetstore.com), müssen Sie die zugehörigen Subdomains (z. B. subdomain.examplepetstore.com) nicht angeben.

Wählen Sie je nach bevorzugter Oberfläche die entsprechende Option aus, um zulässige Domains für Ihren Universalschlüssel zu konfigurieren:

Console

1. Rufen Sie in der Google Cloud Console die Seite Fraud Defense auf.

   Zu Fraud Defense

2. Prüfen Sie, ob der Name Ihres Projekts in der Ressourcenauswahl oben auf der Seite angezeigt wird.

   Wenn Sie den Namen Ihres Projekts nicht sehen, klicken Sie auf die Ressourcenauswahl und wählen Sie Ihr Projekt aus.

3. Klicken Sie auf den Tab Schlüssel.

4. Suchen Sie den Universalschlüssel, den Sie konfigurieren möchten, und klicken Sie darauf.

5. Klicken Sie auf der Seite Schlüsseldetails auf Schlüssel bearbeiten.

6. Suchen Sie den Bereich Einstellungen für die Schlüsselverwendung.

   Zum Schutz des reCAPTCHA-Schlüssels für Ihre Domain und Subdomains müssen Sie den Ein/Aus-Button Domainbestätigung deaktivieren deaktivieren.

   Das Deaktivieren der Domainbestätigung ist ein Sicherheitsrisiko, da es keine Einschränkungen für die Website gibt. Ihr reCAPTCHA-Schlüssel kann also von jedem aufgerufen und verwendet werden.

   Geben Sie den Domainnamen für Ihre Website ein:

   1. Klicken Sie im Abschnitt Domainliste auf Domain hinzufügen.
   2. Geben Sie im Feld Domain den Namen Ihrer Domain ein.
   3. Optional: Wenn Sie eine weitere Domain hinzufügen möchten, klicken Sie auf Domain hinzufügen und geben Sie den Namen einer anderen Domain in das Feld Domain ein. Sie können bis zu 250 Domains hinzufügen.

7. Klicken Sie auf Änderungen speichern.

Hinweis: Wenn Sie eine Richtlinie für mehr als 250 Domains verwenden möchten, klicken Sie auf den Schalter Domainbestätigung deaktivieren. Wenn die Domainbestätigung deaktiviert ist, ignoriert Fraud Defense die Domainliste und Sie müssen die Domainbestätigung selbst durchführen, indem Sie das Feld tokenProperties.hostname in den von Ihnen erstellten Bewertungen prüfen.

gcloud

Wenn Sie die zulässigen Domains für Ihren Universalschlüssel mit der Google Cloud CLI aktualisieren möchten, verwenden Sie den Befehl gcloud alpha recaptcha policies update und geben Sie die Domains in einer Konfigurationsdatei für Richtlinien an (z. B. POLICY.yaml):

gcloud alpha recaptcha policies update --key=KEY_ID --policy=POLICY.yaml

Hinweis: Mit dem Befehl gcloud alpha recaptcha policies update wird die gesamte Richtlinie aktualisiert. Alle vorhandenen protected_endpoint_group oder challenge_rule_groups müssen in der Datei POLICY.yaml enthalten sein, damit sie nicht gelöscht werden.

In der Datei POLICY.yaml müssen die zulässigen Domains unter clientSettings angegeben werden:

clientSettings:
  allowedDomains:
    - DOMAIN_NAME_1
    - DOMAIN_NAME_2

Wenn Sie alle Domains zulassen und die Domainbestätigung deaktivieren möchten, setzen Sie allowAllDomains in der Datei POLICY.yaml auf true:

clientSettings:
  allowAllDomains: true

Ersetzen Sie Folgendes:

• KEY_ID: die ID oder der vollständige Ressourcenname Ihres Universalschlüssels
• DOMAIN_NAME_1, DOMAIN_NAME_2: die Domainnamen von Websites, die den Schlüssel verwenden dürfen

Hinweis: Wenn allowAllDomains auf true festgelegt ist, ignoriert Fraud Defense die Domainliste und Sie müssen die Domainbestätigung selbst durchführen, indem Sie das Feld tokenProperties.hostname in den von Ihnen erstellten Bewertungen prüfen.

REST API

Wenn Sie die zulässigen Domains für Ihren Universalschlüssel mit der REST API aktualisieren möchten, verwenden Sie die Methode projects.keys.updatePolicy.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• PROJECT_ID: Ihre Google Cloud -Projekt-ID
• KEY_ID: die ID Ihres Universalschlüssels
• DOMAIN_NAME_1, DOMAIN_NAME_2: die Domainnamen von Websites, die den Schlüssel verwenden dürfen

HTTP-Methode und URL:

PATCH https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains

JSON-Text anfordern:

{
"clientSettings": {
  "allowedDomains": [
    "DOMAIN_NAME_1",
    "DOMAIN_NAME_2"
  ],
  "allowAllDomains": false
}
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains" | Select-Object -Expand Content

Wenn die Anfrage erfolgreich ist, wird die aktualisierte Richtlinienkonfiguration zurückgegeben.

Hinweis: Wenn Sie eine Richtlinie für mehr als 250 Domains verwenden möchten, legen Sie im Anfragetext allowAllDomains auf true fest. Wenn allowAllDomains auf true gesetzt ist, ignoriert Fraud Defense die Domainliste und Sie müssen die Domainbestätigung selbst durchführen, indem Sie das Feld tokenProperties.hostname in den von Ihnen erstellten Bewertungen prüfen.

Nächste Schritte

• Universelle Schlüssel auf Webseiten installieren