Firebase AI Logic'i kullanmayla ilgili güvenlik kontrol listesi

Gemini API modelini doğrudan mobil ve web uygulamalarınızdan çağırdığınızda arka uç altyapınızı, kotanızı ve tescilli istemlerinizi korumak için çok katmanlı bir derinlemesine savunma yaklaşımı gerekir. Firebase AI Logic için önerilen en iyi güvenlik uygulamalarını hayata geçirmek üzere bu yapılacaklar listesini inceleyin.

Uygulama, cihaz ve kullanıcı doğrulaması

Gelen isteklerin, orijinal cihazlarda çalışan uygulamanızın meşru ve üzerinde oynanmamış örneklerinden ve gerçek kullanıcılardan geldiğini doğrulayın.

Zorunlu kıl Firebase App Check

Gemini API doğrudan uygulamanızdan çağrıldığında kötüye kullanıma karşı korunmasına yardımcı olmak için Firebase App Check özelliğini zorunlu kılın. App Check zorunlu kılındığında, gelen isteklerin orijinal uygulamanızdan ve/veya üzerinde değişiklik yapılmamış bir cihazdan geldiğini doğrular.

App Check; Apple platformları (DeviceCheck, App Attest veya reCAPTCHA Enterprise), Android (Play Integrity veya reCAPTCHA Enterprise) ve web (reCAPTCHA Enterprise) için onay sağlayıcıları destekler. Ayrıca Flutter ve Unity uygulamaları için de tüm bu sağlayıcıları destekler.

Temmuz 2026'nın başından itibaren Firebase, Firebase konsolundaki rehberli kurulum sırasında Firebase AI Logic için App Check'i otomatik olarak zorunlu kılar. Firebase AI Logic ayarını daha önce yaptıysanız App Check ayarını açıkça zorunlu kıldığınızdan emin olun. Yerel geliştirme için App Check hata ayıklama sağlayıcısını ayarlayabilir ve ardından uygulamanızı son kullanıcılara yayınlamadan önce bir üretim onaylama sağlayıcısına kaydedebilirsiniz.

Sınırlı kullanım jetonlarıyla tekrar oynatma korumasını etkinleştirme

App Check kurulumu kapsamında, App Check jetonlarının yalnızca tek kullanımlık olması için yeniden oynatma korumasını zorunlu kılmayı düşünebilirsiniz. Bu seçenek, temel korumanın ötesinde gelişmiş koruma sunar ve uygulamanız ile kullanım alanlarınız için uygun bir koruma düzeyi belirlemenize olanak tanır.

Firebase API anahtarlarınız için kısıtlamalar ayarlama

Firebase API anahtarları, istekte bulunurken Firebase projenizi ve uygulamanızı tanımlar. API anahtarlarınızın yetkisiz kullanımını önlemek için:

  • Anahtar kullanımını yalnızca uygulamanızın belirli paket kimliğinden (Apple), paket adından ve SHA-1 parmak izinden (Android) veya HTTP yönlendireninden (Web) gelen isteklerle sınırlamak için Google Cloud konsolunda "Uygulama kısıtlamaları" ayarını yapın.

  • Her anahtarın "API kısıtlamaları" izin verilenler listesini inceleyin:

Firebase ile ilgili API'lerin, API anahtarlarını yalnızca Firebase projesini veya uygulamasını tanımlamak için kullandığını, API'yi çağırma yetkisi vermek için kullanmadığını unutmayın.

İstekleri yalnızca kimliği doğrulanmış kullanıcılarla kısıtlama

Firebase AI Logic üzerinden gönderilen tüm isteklerin Firebase Authentication tarafından sağlanan geçerli kimlik bilgilerini içermesi için kimliği doğrulanmış kullanıcılar modunu zorunlu kılmayı düşünebilirsiniz. Kimliği doğrulanmamış bir son kullanıcıdan gelen istekler 401: unauthenticated hatasıyla reddedilir.

İstem koruması ve istekleri güçlendirme

İstem tasarımlarınızın istemci kaynak koduna dönüştürme işlemiyle açığa çıkmasını önleyin ve kötü amaçlı kullanıcıların rastgele istemler yürütmemesi için arka ucunuzu kilitleyin.

Sunucu istem şablonlarını kullanma

İstemleri, sistem talimatlarını ve model yapılandırmalarını istemci uygulama kodunda sabit kodlamak yerine bulutta güvenli bir şekilde saklamak için sunucu istem şablonlarını kullanın. Bu sayede, ikili kaynak koduna dönüştürme işlemi kullanılarak istemlerin, sistem talimatlarının ve model yapılandırmalarının çıkarılması önlenir.

Uygulamanız yalnızca bir şablon kimliğine referans verir ve dinamik giriş değişkenlerini iletir. Sunucu istem şablonları, uygulamanızın yeni bir sürümünü yayınlamadan istemleri güncellemenize veya modelleri istediğiniz zaman değiştirmenize de olanak tanır.

İstemci tarafından sağlanan şablon değişkenlerini doğrulama ve temizleme

Sunucu istem şablonları, istem tasarımınızı korur ancak dinamik değişkenleri kabul eden şablonlar istem enjeksiyonuna karşı savunmasız olabilir. Şablonlar, kullanıcı giriş değişkenlerini nihai istemde birleştirdiğinden aşağıdakileri yaptığınızdan emin olun:

  • Değişkenleri bir şablona aktarmadan önce istemcideki tüm kullanıcı girişlerini doğrulayın ve temizleyin (ör. karakter sınırlamalarını ve beklenen biçimleri zorunlu kılma).
  • Şablonlarınıza, kullanıcı girişlerinin nasıl işleneceğine dair güvenlik önlemlerini tanımlayan net sistem talimatları ekleyin.

Yalnızca şablon modunu zorunlu kılma

Uygulamanızın tüm özellikleri sunucu istem şablonlarını kullandığında yalnızca şablon modunu zorunlu kılmayı düşünebilirsiniz. Zorunlu kılındığında Firebase AI Logic, Gemini API (403: unauthorized) için doğrudan ve şablonsuz tüm istekleri engeller. Böylece kötü niyetli kişilerin rastgele istemler göndermesini veya kotanızı kötüye kullanmasını önler.

İzleme, sınırlar ve faturalandırma

Gelen trafik ve güvenlik anormallikleri hakkında görünürlük elde edin ve projenizi beklenmedik kullanım artışlarından veya kontrol dışı maliyetlerden koruyun.

Firebase konsolunda yapay zeka kullanım takibini ayarlama

İstek sayısı, gecikme, jeton kullanımı ve hata oranları (401 kimlik doğrulama hataları ve 403 yalnızca şablon blokları dahil) gibi önemli metrikleri görmek için Firebase konsolunda yapay zeka kullanım takibini kurun. Ayrıca, Google Cloud konsolunda izleri tek tek inceleyebilirsiniz.

Sıklık sınırları belirleme ve kotaları yönetme

Projenizi beklenmedik kullanım artışlarından ve cüzdanı boşaltma saldırılarından koruyun:

Uyarılar ve harcama sınırlarıyla beklenmedik faturalardan kaçının

Firebase projeniz kullandıkça öde Blaze fiyatlandırma planındaysa:

Sonraki adımlar