Utiliser App Check avec le fournisseur de débogage dans les applications Web

Si, après avoir enregistré votre application pour App Check, vous souhaitez exécuter votre application dans un environnement que App Check ne classerait normalement pas comme valide, par exemple localement pendant le développement ou à partir d'un environnement d'intégration continue (CI), vous pouvez créer une version de débogage de votre application qui utilise le fournisseur de débogage App Check au lieu d'un véritable fournisseur d'attestation.

Avertissement : Le fournisseur de débogage permet d'accéder à vos ressources Firebase à partir d'appareils non validés. N'utilisez pas le fournisseur de débogage dans les versions de production de votre application et ne partagez pas vos versions de débogage avec des tiers non fiables.

Utiliser le fournisseur de débogage sur localhost

Pour utiliser le fournisseur de débogage lorsque vous exécutez votre application à partir de localhost (pendant le développement, par exemple), procédez comme suit :

Avertissement : N'essayez pas d'activer le débogage localhost en ajoutant localhost aux domaines autorisés de reCAPTCHA. Cela permettrait à n'importe qui d'exécuter votre application à partir de son ordinateur local.

1. Dans votre version de débogage, activez le mode débogage en définissant self.FIREBASE_APPCHECK_DEBUG_TOKEN sur true avant d'initialiser App Check. Exemple :

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = true;
   initializeAppCheck(app, { /* App Check options */ });
   

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = true;
   firebase.appCheck().activate(/* site key or provider */);
   

   Remarque : Dans les versions du SDK Web Firebase antérieures à la version 9, self.FIREBASE_APPCHECK_DEBUG_TOKEN est lu au moment de l'importation, et non au moment de l'initialisation/de l'activation. Il devait donc être défini dans index.html avant le chargement du bundle de code. Pour éviter cette restriction, passez à la version 9.

2. Accédez à votre application Web localement et ouvrez l'outil pour les développeurs du navigateur. Dans la console de débogage, vous verrez un jeton de débogage :

   AppCheck debug token: "123a4567-b89c-12d3-e456-789012345678". You will
   need to safelist it in the Firebase console for it to work.

3. Dans la section App Check de la console Firebase, sélectionnez Manage debug tokens (Gérer les jetons de débogage) dans le menu à trois points de votre application. Enregistrez ensuite le jeton de débogage que vous avez consigné à l'étape précédente.

   

Une fois le jeton enregistré, les services backend Firebase l'accepteront comme valide.

Étant donné que ce jeton permet d'accéder à vos ressources Firebase sans appareil valide, il est essentiel de le garder privé. Ne l'intégrez pas à un dépôt public. Si un jeton enregistré est compromis, révoquez-le immédiatement dans la Firebase console.

Ce jeton est stocké localement dans votre navigateur et sera utilisé chaque fois que vous utiliserez votre application dans le même navigateur sur le même ordinateur. Si vous souhaitez utiliser le jeton dans un autre navigateur ou sur un autre ordinateur, définissez self.FIREBASE_APPCHECK_DEBUG_TOKEN sur la chaîne de jeton au lieu de true.

Utiliser le fournisseur de débogage dans un environnement d'intégration continue

Pour utiliser le fournisseur de débogage dans un environnement d'intégration continue (CI), procédez comme suit :

1. Dans la section App Check de la console Firebase, sélectionnez Manage debug tokens (Gérer les jetons de débogage) dans le menu à trois points de votre application. Créez ensuite un jeton de débogage. Vous en aurez besoin à l'étape suivante.

   Étant donné que ce jeton permet d'accéder à vos ressources Firebase sans appareil valide, il est essentiel de le garder privé. Ne l'intégrez pas à un dépôt public. Si un jeton enregistré est compromis, révoquez-le immédiatement dans la Firebase console.

   

2. Ajoutez le jeton de débogage que vous venez de créer au magasin de clés sécurisé de votre système d'intégration continue (par exemple, les secrets chiffrés de GitHub Actions ou les variables chiffrées de Travis CI).

3. Si nécessaire, configurez votre système d'intégration continue pour que votre jeton de débogage soit disponible dans l'environnement d'intégration continue en tant que variable d'environnement. Nommez la variable, par exemple, APP_CHECK_DEBUG_TOKEN_FROM_CI.

4. Dans votre version de débogage, activez le mode débogage en définissant self.FIREBASE_APPCHECK_DEBUG_TOKEN sur la valeur de la variable d'environnement du jeton de débogage avant d'importer App Check. Exemple :

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = process.env.APP_CHECK_DEBUG_TOKEN_FROM_CI;
   initializeAppCheck(app, { /* App Check options */ });
   

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = process.env.APP_CHECK_DEBUG_TOKEN_FROM_CI;
   firebase.appCheck().activate(/* site key or provider */);
   

Lorsque votre application s'exécute dans un environnement d'intégration continue, les services backend Firebase acceptent le jeton qu'elle envoie comme valide.