En este documento, se explica qué son los tokens de acceso privados (PAT) y cómo los usa Google Cloud Fraud Defense.
¿Qué son los tokens de acceso privados?
La Defensa contra fraudes usa una función en iOS y macOS llamada PAT para reducir la cantidad de CAPTCHA que muestra a los usuarios humanos.
Un PAT es un token opaco que generan algunos dispositivos iOS y macOS. El token funciona como una certificación que preserva la privacidad de la autenticidad y la integridad de un dispositivo. Los PAT son una implementación del protocolo Privacy Pass, que es un tipo de esquema de WWW-Authenticate.
Cómo Fraud Defense usa los tokens de acceso privado
La Defensa contra fraudos usa varios factores para determinar si una solicitud proviene de un humano o un bot. La capacidad de un dispositivo para generar un PAT es uno de estos indicadores. Los dispositivos que no pueden generar un PAT no reciben penalizaciones.
El protocolo PAT está diseñado para ayudar a preservar la privacidad. El token no contiene información de identificación personal que se pueda usar para identificar un dispositivo o usuario específico. Fraud Defense verifica que el token sea válido para confirmar que la solicitud proviene de un dispositivo Apple original.
Flujo de solicitud del token de acceso privado
Es posible que veas el error 401 https://www.google.com/recaptcha/api2/pat o https://www.recaptcha.net/recaptcha/api2/pat. Este error es una parte esperada del protocolo de la PAT. Para determinar si un dispositivo puede producir un PAT, Defensa contra el fraude envía un encabezado especial en una respuesta que rechaza la solicitud inicial. En los dispositivos Apple compatibles, este encabezado activa un flujo que vuelve a intentar la solicitud con un PAT.
Este error 401 no impide que Fraud Defense funcione en la página ni causa otros errores. Cuando haces clic en la casilla de verificación o llamas a execute, la API de reCAPTCHA Enterprise sigue generando un token válido.
¿Qué sigue?
Para obtener más información sobre cómo Apple usa los tokens de acceso privado, consulta la publicación Featuring Private Access Tokens en el blog de Apple Developer.