Policy Engine mit einem universellen Schlüssel einrichten

Vorschau

Dieses Produkt oder Feature unterliegt den "Nutzungsbedingungen für Pre-GA-Angebote" im Abschnitt "Allgemeine Dienstbedingungen" der Dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte und -Features sind "im Ist-Zustand" verfügbar und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

In diesem Dokument wird beschrieben, wie Sie die Policy Engine auf Ihrer Website mit einem Universalschlüssel konfigurieren. Der Universalschlüssel ist ein neuer Google Cloud Fraud Defense-Schlüssel, mit dem Regeln in der Policy Engine erstellt werden können.

Mit der Policy Engine kann Fraud Defense deterministisch CAPTCHA-Herausforderungen basierend auf benutzerdefinierten Richtlinienregeln auslösen, die Sie konfigurieren. Diese Regeln können festlegen, wann eine Fraud Defense-Herausforderung basierend auf Risikobewertungen, IP-Adressen, User-Agents, ASNs oder bestätigten Bot-Identitäten (KI-Agent) angezeigt werden soll.

Die Konfiguration der Fraud Defense Policy Engine bietet zwei Hauptfunktionen:

• AutoExecute-Integration (protected_endpoint_group): Vereinfacht die Frontend-JavaScript-Integration, indem ausgehende asynchrone Netzwerkanfragen automatisch geprüft und reCAPTCHA-Tokens angehängt werden. So ist nur ein Skript-Tag im Frontend erforderlich.
• Herausforderungsrichtlinien (challenge_rule_groups): Legt fest, ob bei verschiedenen Nutzeraktionen eine Herausforderung angezeigt werden soll, und konfiguriert die zugehörigen Schwierigkeitsstufen für die Herausforderung (USABILITY, BALANCE, SECURITY) mithilfe benutzerdefinierter CEL-basierter Regeln.

Hinweis

1. Bereiten Sie Ihre Umgebung für reCAPTCHA vor.

2. Prüfen Sie, ob die Abrechnung für Ihr Google Cloud Projekt aktiviert ist.

   Für Fraud Defense muss die Abrechnung mit dem Projekt verknüpft und für dieses aktiviert sein, um die Policy Engine verwenden zu können. Sie können die Abrechnung entweder mithilfe einer Kreditkarte oder anhand einer vorhandenen Google Cloud Abrechnungs-ID für das Projekt aktivieren. Wenn Sie Hilfe bei der Abrechnung benötigen, wenden Sie sich an den Cloud Billing-Support.

Universalschlüssel erstellen

Wählen Sie je nach bevorzugter Oberfläche die entsprechende Option aus, um einen Universalschlüssel zu erstellen:

Console

1. Rufen Sie in der Google Cloud Console die reCAPTCHA Seite auf.

   Zu reCAPTCHA

2. Prüfen Sie, ob der Name Ihres Projekts in der Ressourcenauswahl oben auf der Seite angezeigt wird.

   Wenn Sie den Namen Ihres Projekts nicht sehen, klicken Sie auf die Ressourcenauswahl, wählen Sie dann Ihr Projekt aus.

3. Wählen Sie den Tab Schlüssel aus.
4. Klicken Sie auf Schlüssel erstellen.
5. Geben Sie im Feld Anzeigename einen Anzeigenamen für den Schlüssel ein.
6. Wählen Sie als Anwendungstyp die Option Universal aus.
7. Klicken Sie auf Schlüssel erstellen.

Der neu erstellte Schlüssel wird auf der Seite reCAPTCHA-Schlüssel aufgeführt.

gcloud

Verwenden Sie den gcloud recaptcha keys create Befehl mit dem --universal Flag, um einen Universalschlüssel mit der Google Cloud CLI zu erstellen:

gcloud recaptcha keys create --universal --display-name=DISPLAY_NAME

Die Antwort enthält den neu erstellten reCAPTCHA-Universalschlüssel.

REST API

Verwenden Sie die projects.keys.create Methode und geben Sie universalSettings an, um einen Universalschlüssel mit der REST API zu erstellen:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys

{
  "displayName": "DISPLAY_NAME",
  "universalSettings": {}
}

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Google Cloud Projekt-ID
• DISPLAY_NAME: ein Anzeigename für Ihren Schlüssel, in der Regel der Name Ihrer Website

Die Antwort enthält den neu erstellten reCAPTCHA-Universalschlüssel.

Domains für die Policy Engine konfigurieren

Hinweis: Bei Websites gilt der reCAPTCHA-Schlüssel nur für die von Ihnen angegebenen Domains und Subdomains. Sie können mehr als eine Domain angeben, wenn Ihre Website von mehreren Domains bereitgestellt wird. Wenn Sie eine Domain angeben (z. B. examplepetstore.com), müssen Sie ihre Subdomains nicht angeben (z. B. subdomain.examplepetstore.com).

Wählen Sie je nach bevorzugter Oberfläche die entsprechende Option aus, um zulässige Domains für Ihren Universalschlüssel zu konfigurieren:

Console

1. Rufen Sie in der Google Cloud Console die Seite **Fraud Defense** auf.

   Zu Fraud Defense

2. Prüfen Sie, ob der Name Ihres Projekts in der Ressourcenauswahl oben auf der Seite angezeigt wird.

   Wenn Sie den Namen Ihres Projekts nicht sehen, klicken Sie auf die Ressourcenauswahl und wählen Sie Ihr Projekt aus.

3. Klicken Sie auf den Tab reCAPTCHA-Schlüssel.

4. Suchen Sie den Universalschlüssel, den Sie konfigurieren möchten, und klicken Sie darauf.

5. Klicken Sie auf der Seite Schlüsseldetails auf Schlüssel bearbeiten.

6. Suchen Sie den Abschnitt Einstellungen für die Schlüsselnutzung.

   Zum Schutz des reCAPTCHA-Schlüssels für Ihre Domain und Subdomains müssen Sie den Ein/Aus-Button Domainbestätigung deaktivieren deaktivieren.

   Das Deaktivieren der Domainbestätigung ist ein Sicherheitsrisiko, da es keine Einschränkungen für die Website gibt. Daher kann jeder auf Ihren reCAPTCHA-Schlüssel zugreifen und ihn verwenden .

   Geben Sie den Domainnamen für Ihre Website ein:

   1. Klicken Sie im Abschnitt Domainliste auf Domain hinzufügen.
   2. Geben Sie im Feld Domain den Namen Ihrer Domain ein.
   3. Optional: Klicken Sie zum Hinzufügen einer zusätzlichen Domain auf Domain hinzufügen und geben Sie den Namen einer anderen Domain in das Feld Domain ein. Sie können bis zu 250 Domains hinzufügen.

7. Klicken Sie auf Änderungen speichern.

Hinweis: Wenn Sie eine Richtlinie für mehr als 250 Domains verwenden möchten, klicken Sie auf den Ein/Aus-Button Domainbestätigung deaktivieren. Wenn die Domainbestätigung deaktiviert ist, ignoriert Fraud Defense die Domainliste und Sie müssen die Domainbestätigung selbst durchführen, indem Sie das tokenProperties.hostname Feld in den von Ihnen erstellten Bewertungen prüfen.

gcloud

Verwenden Sie den gcloud alpha recaptcha policies update Befehl und geben Sie die Domains in einer Richtlinienkonfigurationsdatei an (z. B. POLICY.yaml), um die zulässigen Domains für Ihren Universalschlüssel mit der Google Cloud CLI zu aktualisieren:

gcloud alpha recaptcha policies update --key=KEY_ID --policy=POLICY.yaml

Hinweis: Der gcloud alpha recaptcha policies update Befehl aktualisiert die gesamte Richtlinie. Alle vorhandenen protected_endpoint_group oder challenge_rule_groups müssen in der Datei POLICY.yaml enthalten sein, um zu verhindern, dass sie gelöscht werden.

In der Datei POLICY.yaml müssen die zulässigen Domains unter clientSettings angegeben werden:

clientSettings:
  allowedDomains:
    - DOMAIN_NAME_1
    - DOMAIN_NAME_2

Alternativ können Sie alle Domains zulassen und die Domainbestätigung deaktivieren, indem Sie allowAllDomains in der Datei POLICY.yaml auf true setzen:

clientSettings:
  allowAllDomains: true

Ersetzen Sie Folgendes:

• KEY_ID: die ID oder der vollständige Ressourcenname Ihres Universalschlüssels
• DOMAIN_NAME_1, DOMAIN_NAME_2: die Domainnamen von Websites, die den Schlüssel verwenden dürfen

Hinweis: Wenn allowAllDomains auf true gesetzt ist, ignoriert Fraud Defense die Domainliste und Sie müssen die Domainbestätigung selbst durchführen, indem Sie das tokenProperties.hostname Feld in den von Ihnen erstellten Bewertungen prüfen.

REST API

Verwenden Sie die Methode projects.keys.updatePolicy, um die zulässigen Domains für Ihren Universalschlüssel mit der REST API zu aktualisieren.

Ersetzen Sie die folgenden Platzhalter, bevor Sie die Anfragedaten verwenden:

• PROJECT_ID: Ihre Google Cloud Projekt-ID
• KEY_ID: die ID Ihres Universalschlüssels
• DOMAIN_NAME_1, DOMAIN_NAME_2: die Domainnamen von Websites, die den Schlüssel verwenden dürfen

HTTP-Methode und URL:

PATCH https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains

Anfragetext im JSON-Format:

{
"clientSettings": {
  "allowedDomains": [
    "DOMAIN_NAME_1",
    "DOMAIN_NAME_2"
  ],
  "allowAllDomains": false
}
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json, und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys/KEY_ID/policy?updateMask=clientSettings.allowedDomains,clientSettings.allowAllDomains" | Select-Object -Expand Content

Bei Erfolg gibt die Anfrage die aktualisierte Richtlinienkonfiguration zurück.

Hinweis: Wenn Sie eine Richtlinie für mehr als 250 Domains verwenden möchten, setzen Sie allowAllDomains im Anfragetext auf true. Wenn allowAllDomains auf true gesetzt ist, ignoriert Fraud Defense die Domainliste und Sie müssen die Domainbestätigung selbst durchführen, indem Sie das tokenProperties.hostname Feld in den von Ihnen erstellten Bewertungen prüfen.

Nächste Schritte

• Universalschlüssel auf Webseiten installieren.